Octopus Server: Fehlerhafte Autorisierung bei gescopten Berechtigungen
Zusammenfassung
Octopus Server wertet mehrere gescopte Berechtigungszuweisungen fehlerhaft aus. Ein hoch privilegierter Benutzer kann dadurch Deployment-Berechtigungen erhalten, die über die tatsächlich gewährten hinausgehen. Der Hersteller stuft die Schwachstelle als High (CVSS 8.7) ein, und es sind keine öffentlichen Ausnutzungen bekannt. Der Angreifer benötigt ein gültiges Konto, daher besteht das Hauptrisiko in Missbrauch durch Insider oder kompromittierte Zugangsdaten.
Betroffen
- Octopus Server 2019.5.0 bis vor 2026.2.12438 (CVE-Eintrag)
- Octopus Server 2026.2.x vor 2026.2.13438 (Sicherheitshinweis des Herstellers)
- Octopus Server 2026.3.0 bis vor 2026.3.15816
- Hinweis: Der Sicherheitshinweis des Herstellers und der CVE-Eintrag unterscheiden sich beim korrigierten 2026.2-Build (13438 bzw. 12438). Auf der Seite des Herstellers prüfen.
Behoben in
- Octopus Server 2026.2.13438 (Sicherheitshinweis des Herstellers; der CVE-Eintrag nennt 12438)
- Octopus Server 2026.3.15816
- Der Hersteller empfiehlt die aktuelle Version 2026.3.15875.
Umgehung
Unbekannt. Der Hersteller gibt an, dass keine bekannte Abschwächung existiert, und empfiehlt ein Update.
- Übergangsmassnahme (nicht vom Hersteller genannt): Gescopte Berechtigungszuweisungen hoch privilegierter Benutzer überprüfen und nicht benötigte bis zum Abschluss des Updates entfernen.
Ausnutzung
- Dem Hersteller sind keine öffentlichen Ankündigungen oder böswillige Nutzung bekannt.
- Die SSVC-Daten von CISA (Vulnrichment) führen die Ausnutzung als none und die Automatisierbarkeit als no auf.
- Die CVE-Nummer ist nicht im KEV-Katalog der CISA gelistet.
- Es wurde kein öffentlicher Proof of Concept gefunden.
Unsere Empfehlung
- Die Octopus-Server-Version jetzt prüfen und auf 2026.3.15816 oder neuer im 3.x-Zweig bzw. auf 2026.2.13438 im 2.x-Zweig aktualisieren.
- Gescopte Rollen und Benutzer mit Deployment-Rechten überprüfen und nicht benötigte Berechtigungen entfernen.
- Die übrigen Sicherheitshinweise von Octopus Server aus dem Jahr 2026 prüfen, da in diesem Jahr mehrere Schwachstellen bei gescopten Berechtigungen gemeldet wurden.
- Bis zum Abschluss des Updates auf ungewöhnliche Deployments oder Berechtigungsänderungen achten.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Octopus Security Advisory 2026-12 advisories.octopus.com
- NVD/CVE record via OpenCVE app.opencve.io
- Octopus Deploy advisories overview 2026 advisories.octopus.com
- CVE-2026-102488 via Strix www.strix.ai
- CISA ADP Vulnrichment data via HOL Guard hol.org
- Related: CVE-2026-91778 (NVD) vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 05:22.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.