reNgine: OS-Command-Injection über das Feld custom_headers der Scan-Engine
Zusammenfassung
reNgine bis und mit v2.2.0 sowie der aktuelle Master-Branch sind über das Feld custom_headers der Scan-Engine-Konfiguration für eine OS-Command-Injection anfällig. Das Feld wird in den Funktionen fetch_url und dir_file_fuzz ohne Bereinigung in Shell-Befehle eingefügt. Gemäss dem Forscher kann ein angemeldeter Benutzer, der Scan-Engine-Konfigurationen bearbeiten darf, beliebige Befehle als root im Celery-Worker-Container ausführen. Ein öffentlicher Proof of Concept existiert, und eine korrigierte Version ist nicht bekannt.
Betroffen
- reNgine bis und mit v2.2.0
- reNgine Master-Branch mit Commit de4199222cca5618f1255930ce78987e47d43a99
- Betroffene Komponente: web/reNgine/tasks.py (fetch_url und dir_file_fuzz)
Behoben in
Unbekannt.
Umgehung
- Keine offizielle Massnahme des Herstellers veröffentlicht.
- Änderungsrechte für Scan-Engine-Konfigurationen auf vertrauenswürdige Administratoren beschränken.
- Bestehende custom_headers-Werte auf Shell-Metazeichen wie Anführungszeichen, ;, | und && prüfen.
Ausnutzung
- Öffentlicher Proof of Concept: ja (GitHub-Repository von AmalJafarzade).
- CISA SSVC: Ausnutzungsstatus poc, automatisierbar: ja, technische Auswirkung: total.
- In freier Wildbahn: nichts bekannt.
- EPSS-Score: 0.0074.
Unsere Empfehlung
- reNgine-Weboberfläche und API nicht aus dem Internet erreichbar machen; VPN oder Zugangsproxy verwenden.
- Änderungsrechte für Scan-Engine-Konfigurationen auf eine kleine Gruppe vertrauenswürdiger Administratoren beschränken und bestehende custom_headers-Werte prüfen.
- Celery-Worker mit minimalen Rechten betreiben und dessen Netzwerkzugriff einschränken.
- Worker-Container auf unerwartete Prozesse oder Dateien überwachen.
- https://github.com/yogeshojha/rengine regelmässig prüfen und sofort aktualisieren, sobald eine Korrektur verfügbar ist.
Öffentliche Exploits
Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.
- Proof of Concept auf GitHub (1 Repositories)
AmalJafarzade/CVE-2026-104584
Quellen der Recherche
- CVE-2026-104584 proof of concept (GitHub, AmalJafarzade) github.com
- reNgine project (GitHub, yogeshojha) github.com
- GitHub Advisory Database GHSA-54m7-7mmj-vwxc github.com
- Vulners NVD record CVE-2026-104584 vulners.com
- VulDB entry 418040 vuldb.com
- Packet Storm exploit entry PACKETSTORM:235093 vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 18:56.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.