Koha: OS-Command-Injection im Löschpfad des Task Schedulers
Zusammenfassung
Koha, ein quelloffenes Bibliotheksverwaltungssystem, enthält eine OS-Command-Injection im Handler zum Löschen von Scheduler-Jobs (tools/scheduler.pl, op=cud-delete). Der Parameter jobid wird ungeprüft an einen atrm-Befehl übergeben, der über eine Shell ausgeführt wird. Ein authentifizierter Mitarbeiter-Benutzer mit der Berechtigung schedule_tasks kann beliebige Betriebssystembefehle als Koha-Webbenutzer bzw. Anwendungsbenutzer ausführen, mit vollständigen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit.
Betroffen
- Koha-Versionen vor 24.11.20
- Koha 24.11.00 bis vor 24.11.20
- Koha 25.05.00 bis vor 25.05.15
- Koha 25.11.00 bis vor 25.11.09
- Koha 26.05.00 bis vor 26.05.04
- Versionen vor 24.11 sind laut CNA betroffen; ob sie einen Fix erhalten haben, ist unbekannt.
Behoben in
- Koha 24.11.20
- Koha 25.05.15
- Koha 25.11.09
- Koha 26.05.04
- Koha 26.11 Entwicklungszweig
Umgehung
Unbekannt. Kein Workaround des Herstellers gefunden; die Herstellerpatches anwenden.
Ausnutzung
- Zum Zeitpunkt der Recherche nicht im CISA-KEV-Katalog gelistet.
- Kein öffentlicher Exploit bestätigt; die CISA-SSVC-Bewertung für Exploitation lautet poc.
- EPSS 0.0188 laut dem Eintrag von Positive Technologies.
- Für die Ausnutzung ist eine Authentifizierung mit der Berechtigung schedule_tasks erforderlich; laut CISA-SSVC ist die Ausnutzung nicht automatisierbar (automatable: no).
Unsere Empfehlung
- Koha auf eine gepatchte Version aktualisieren (24.11.20, 25.05.15, 25.11.09, 26.05.04 oder neuer).
- Prüfen, welche Konten die Berechtigung schedule_tasks besitzen, und diese dort entfernen, wo sie nicht benötigt wird.
- Die Mitarbeiter-Oberfläche nicht öffentlich erreichbar machen oder nur über VPN zugänglich halten.
- Die Liste der Scheduler-Jobs nach dem Patchen auf unerwartete Einträge prüfen.
- Den Status von Koha-Versionen vor 24.11 beim Hersteller oder bei Ihrem Dienstleister klären.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Koha Bugzilla bug 42674 bugs.koha-community.org
- Koha download page download.koha-community.org
- Koha 24.11.20 LTS release notes koha-community.org
- Koha 25.05.15 release notes koha-community.org
- Koha 25.11.09 release notes koha-community.org
- CVE-2026-105106 on vulners.com vulners.com
- CVE-2026-105106 on Strix www.strix.ai
- CVE-2026-105106 on TheHackerWire www.thehackerwire.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 16:53.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.