EagleCloud Aquila: Code-Injection im Pigeon-MFA-Dienst
Zusammenfassung
Der Pigeon-MFA-Dienst in On-Premises-Installationen von EagleCloud Aquila bis Version 2.6.7.2 enthält eine Code-Injection-Schwachstelle (CWE-94). Ein authentifizierter Angreifer oder ein Angreifer mit niedrigen Berechtigungen kann über einen unzureichend eingeschränkten API-Endpunkt Lua-Skripte dauerhaft einschleusen, die anschliessend von den Backend-Engines ausgeführt werden. Eine erfolgreiche Ausnutzung kann zu Remote Code Execution als Container-Root, zu einer Authentifizierungsumgehung und zur Offenlegung sensibler Bereitstellungsschlüssel führen. Der CVSS-4.0-Basiswert beträgt 9.4 (kritisch).
Betroffen
- EagleCloud Aquila On-Premises, Versionen 0 bis 2.6.7.2 (gemäss CVE-Eintrag)
Behoben in
- Version 2.6.7.3, gemäss Zeitplan im Advisory von Mandiant
- Das eigene Advisory von EagleCloud war nicht verfügbar, um diese Korrektur zu bestätigen
Umgehung
Unbekannt. Es wurde kein vom Hersteller herausgegebener Workaround gefunden.
- Den Zugriff auf die Verwaltungs- und MFA-Schnittstellen von Aquila einschränken, bis das Update eingespielt ist
Ausnutzung
- Keine Hinweise auf aktive Ausnutzung gefunden
- Gemäss Strix nicht im KEV-Katalog aufgeführt
- Kein öffentlicher Proof of Concept gefunden
Unsere Empfehlung
- Alle On-Premises-Installationen von Aquila und deren Versionen inventarisieren
- EagleCloud bitten, Version 2.6.7.3 zu bestätigen und das offizielle Advisory bereitzustellen
- Auf die bestätigte korrigierte Version aktualisieren und anschliessend Konten und Logs auf unerwartete Änderungen prüfen
- Netzwerkzugriff auf die MFA- und Verwaltungsschnittstellen einschränken
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Mandiant advisory MNDT-2026-0039 github.com
- VulDB entry CVE-2026-104383 vuldb.com
- Strix CVE entry CVE-2026-104383 www.strix.ai
- Vulners CVE entry CVE-2026-104383 vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 23:43.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.