FileRise: Authentifizierungsumgehung durch OIDC-Kontobindung an lokale Konten

Zusammenfassung

FileRise, ein selbst gehosteter webbasierter Dateimanager, ordnet authentifizierte OIDC-Identitäten lokalen Konten anhand veränderlicher Claims preferred_username oder email zu und verlangt bei E-Mail-basierter Benennung kein email_verified. Ein Angreifer, der Identity-Provider-Claims mit einem bestehenden lokalen Benutzernamen erhalten kann, kann sich als dieses Konto anmelden, einschliesslich des integrierten Administrators. Dies funktioniert auch, wenn die automatische Bereitstellung deaktiviert ist; die Ausnutzbarkeit hängt davon ab, ob der konfigurierte Identity Provider solche kollidierenden Claims zulässt.

Betroffen

• error311 FileRise Versionen vor 3.23.0
• Gemäss Mechanismus im Advisory sind nur Installationen mit aktiviertem OIDC-Login betroffen; reine lokale Anmeldung ist nicht betroffen.

Behoben in

• Behoben in FileRise 3.23.0 (Commit cc1118923b522baff28dca05bdd79c27f984c68a).
• Es existieren neuere Versionen; die aktuell stabile Version ist auf der Release-Seite des Herstellers zu prüfen.

Umgehung

• Unbekannt. Der Hersteller dokumentiert keine Zwischenlösung.
• Nicht verifizierte Option: OIDC-Login deaktivieren oder die Identity Provider, mit denen sich Benutzer anmelden können, einschränken, bis das Update abgeschlossen ist.

Ausnutzung

• CISA SSVC: Exploitation 'poc', Automatable 'no', Technical Impact 'total'.
• In den geprüften Quellen nicht als aktiv ausgenutzt markiert.
• Im Rahmen der Recherche wurde kein öffentlicher Proof of Concept gefunden; dies schliesst dessen Existenz nicht aus.

Unsere Empfehlung

• Prüfen, ob eine FileRise-Instanz OIDC-Login verwendet.
• Auf 3.23.0 oder neuer aktualisieren, vorzugsweise auf die aktuell stabile Version, nach Lektüre der Hinweise zur OIDC-Migration und zum ONLYOFFICE-Callback in den Release-Notes.
• Vor dem Update eine funktionierende lokale Administrator-Anmeldung prüfen und das Verzeichnis users sichern.
• Administrator- und Kontoanmeldungen seit der Aktivierung von OIDC überprüfen und mit OIDC verknüpfte Konten, die nicht bekannt sind, kontrollieren.
• CVE-2026-104105 und CVE-2026-104106 zusammen mit diesem Fix einspielen, da sie im selben Release behoben sind.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-c5c5-mv9m-j367 github.com
• FileRise v3.23.0 release github.com
• Fix commit cc11189 github.com
• OSV CVE-2026-104108 osv.dev
• VulDB CVE-2026-104108 vuldb.com
• FileRise changelog filerise.net

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 19:02.