Backstage Cloudflare Access Auth-Provider: Unzureichende Audience-Prüfung
Zusammenfassung
Der Cloudflare-Access-Auth-Provider des Backstage-Plugins @backstage/plugin-auth-backend-module-cloudflare-access-provider prüft nicht, ob ein Token für die Backstage-Anwendung ausgestellt wurde. Ein Benutzer mit einem gültigen Token für eine andere Cloudflare-Access-Anwendung im selben Zero-Trust-Team kann sich möglicherweise bei Backstage anmelden, wenn das Token den Auth-Endpunkt erreicht und die Audience vorgelagert nicht durchgesetzt wird. Die Auswirkung hängt vom Sign-in-Resolver und den Berechtigungen der zugeordneten Identität ab.
Betroffen
- @backstage/plugin-auth-backend-module-cloudflare-access-provider >= 0.1.0, < 0.5.0
- Backstage-Kern gemäss CVE-Eintrag: >= 1.26.0, < 1.55.0
Behoben in
- @backstage/plugin-auth-backend-module-cloudflare-access-provider 0.5.0 oder neuer
- Enthalten in Backstage 1.55.0
Umgehung
- Den Zugriff auf den Backstage-Auth-Endpunkt auf die vorgesehene Cloudflare-Access-Anwendung beschränken
- Einen eigenen Authenticator verwenden, der die Audience der Anwendung prüft
- Den Provider deaktivieren, bis das gepatchte Paket eingesetzt werden kann
Ausnutzung
- Vom Hersteller wurde keine Ausnutzung gemeldet; es wurde kein öffentlicher Proof of Concept gefunden
- CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total
Unsere Empfehlung
- Prüfen, ob Backstage den cfaccess-Provider verwendet und ob mehrere Access-Anwendungen dasselbe Cloudflare-Team nutzen
- Auf Plugin-Version 0.5.0 oder Backstage 1.55.0 oder neuer aktualisieren und auth.providers.cfaccess.audience auf den Audience-(AUD)-Tag setzen (Breaking Change)
- Bis dahin den Auth-Endpunkt einschränken oder den Provider deaktivieren sowie Sign-in-Resolver und Berechtigungen prüfen
- CVSS-Wert auf NVD überprüfen, da die Quellen 6.8 und 8.1 angeben
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Backstage GitHub Security Advisory GHSA-q333-f498-w2x7 github.com
- Fix commit ed9034c github.com
- Backstage v1.55.0 release github.com
- Backstage v1.55.0 release notes backstage.io
- OSV CVE-2026-106457 osv.dev
- GitHub Advisory GHSA-q333-f498-w2x7 github.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 20:41.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.