Tuleap Enterprise Edition: OS-Command-Injection
Zusammenfassung
Tuleap Enterprise Edition in den Linien 17.0 und 17.5 enthält eine OS-Command-Injection-Schwachstelle (CWE-78). Ein angemeldeter Angreifer mit niedrigen Berechtigungen könnte beliebige Betriebssystembefehle auf dem Server ausführen, was der Hersteller mit vollständigen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit bewertet (CVSS 8.8). Der CVE-Eintrag des Herstellers nennt engere betroffene Builds als das Advisory, daher muss der genaue Umfang beim Hersteller bestätigt werden.
Betroffen
- Tuleap Enterprise Edition 17.0 bis 17.5 (Formulierung im Advisory)
- CVE-Eintrag: 17.0-1 bis 17.0-40 und 17.5-1 bis 17.5-31
- Standardkonfiguration: laut CVE-Eintrag nicht betroffen
Behoben in
Unbekannt. Es wurde kein korrigierter Build gefunden; der Abschnitt zur Behebung im 3DS-Advisory ist zu prüfen.
Umgehung
Keine vom Hersteller bestätigte Workaround bekannt.
- Netzwerkzugriff auf die Tuleap-Instanz einschränken.
- Kontoerstellung begrenzen und Konten mit Schreibrechten reduzieren, bis eine Korrektur eingespielt ist.
- Den Tuleap-Dienst unter einem dedizierten Konto mit minimalen Berechtigungen betreiben.
Ausnutzung
- CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
- Nicht im CISA-KEV-Katalog. EPSS 1.8%.
- In einer begrenzten Recherche wurde kein öffentlicher Proof of Concept und keine Ausnutzung in freier Wildbahn gefunden.
Unsere Empfehlung
- Installierten 17.x-Build bestätigen und mit den betroffenen Bereichen vergleichen.
- Die korrigierte Version dem 3DS-Advisory entnehmen und sobald verfügbar einspielen.
- Bis zur Korrektur den Netzwerkzugriff einschränken und Benutzerkonten prüfen, einschliesslich per XML-Import erstellter Konten (siehe CVE-2026-19851).
- Das 3DS-Advisory und öffentliche Exploit-Quellen überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- 3DS Security Advisory CVE-2026-105407 www.3ds.com
- OpenCVE CVE-2026-105407 app.opencve.io
- Vulners CVE-2026-105407 vulners.com
- VulDB 416877 vuldb.com
- Strix CVE-2026-105407 www.strix.ai
- SentinelOne CVE-2026-84285 www.sentinelone.com
- SentinelOne CVE-2026-19851 www.sentinelone.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 20:31.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.