Internet2 Grouper: Rechteausweitung über die Bearbeitung von Regeln in der UI

Zusammenfassung

Internet2 Grouper erlaubt in den betroffenen Versionsbereichen einem Benutzer, der Regeln in der Grouper-Benutzeroberfläche erstellen oder bearbeiten darf, eine Rechteausweitung. Der Angreifer benötigt ein gültiges Konto mit Berechtigung zur Regelbearbeitung, und die Schwachstelle betrifft nur Umgebungen, in denen Nicht-Sysadmins Regeln bearbeiten können. Das CVSS-4.0-Rating liegt für den schlimmsten Fall bei 9.3 (kritisch), gemäss CISA SSVC ist jedoch keine Ausnutzung bekannt.

Betroffen

• Internet2 Grouper 5.8.3 bis 5.22.5 (gemäss CNA-Eintrag; Drittquellen widersprechen sich bei diesem Bereich)
• Internet2 Grouper 6.0.0 bis vor 6.4.1
• Internet2 Grouper 7.0.0 bis vor 7.5.1
• Standardkonfiguration: nicht betroffen

Behoben in

• Die CVE-Beschreibung nennt 7.5.1 als korrigierte Version.
• Korrigierte Versionen für die Zweige 5.x und 6.x: Unbekannt.

Umgehung

• Die Regel-UI auf Grouper-Sysadmins beschränken, mit der Einstellung rules.restrictRulesUiToMembersOfThisGroupName in grouper.properties.
• Die Einstellungen rules.groupNamesRestrictRules und rules.stemNamesRestrictRules helfen nur teilweise.
• Die Einschränkung der UI entfernt bestehende Regeln nicht; diese manuell prüfen.

Ausnutzung

• CISA SSVC: Ausnutzung none, nicht automatisierbar.
• Nicht als bekannt ausgenutzt gelistet (KEV: nein).
• Zum Zeitpunkt der Erstellung wurde kein öffentlicher Proof of Concept gefunden.
• EPSS-Wert 0.00255 (niedrig), gemäss Vulners.

Unsere Empfehlung

• Prüfen, ob Grouper eingesetzt wird und welche Version und welcher Zweig verwendet werden.
• Falls ja, die Regelbearbeitung in der UI auf Sysadmins beschränken und bestehende Regeln auf unerwartete Einträge prüfen.
• Beim Hersteller eine korrigierte Version für den eigenen Zweig beziehen; nicht davon ausgehen, dass eine existiert.
• NVD und das Advisory des Herstellers überwachen, da die NVD-Analyse noch ausstand.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Vendor advisory GRP-7359 (Internet2) docs.grouper.internet2.edu
• OSV: CVE-2026-103470 osv.dev
• Threatint CVE record cve.threatint.com
• Vulners (MEND) CVE-2026-103470 vulners.com
• Strix CVE-2026-103470 www.strix.ai
• HOL Guard: CISA ADP Vulnrichment hol.org

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 03:47.