Eptura Archibus: Authentifizierungsumgehung in DWR-API
Zusammenfassung
Eptura Archibus Web Central stellt einen veralteten Direct-Web-Remoting-(DWR)-API-Endpunkt bereit, der missbraucht werden kann, um Workflow-Regeln ohne Authentifizierung auszuführen. Ein nicht authentifizierter Angreifer mit HTTP-Zugriff auf den Server kann dadurch normalerweise geschützte Funktionen auslösen. Laut Rapid7 ist diese Umgehung Teil einer Kette, die zusätzlich Datenbankzugriffe und über einen unsicheren Dateiupload Remote Code Execution ermöglicht. Versionen vor 2025.02 sind betroffen.
Betroffen
- Eptura Archibus (Archibus Web Central) Versionen vor 2025.02
- Status der Version 2025.01 und älter: ungeklärt, siehe Empfehlung
Behoben in
- Version 2025.02 oder neuer, laut Rapid7 (die verwundbare DWR-Methode wurde in eine REST-API verschoben)
- Korrektur für 2025.01: nicht bestätigt, Quellen widersprechen sich
- Ältere Versionen: laut Berichten kein Patch verfügbar; Massnahme von Eptura nicht verifiziert
Umgehung
- Zugriff auf den DWR-Endpunkt auf vertrauenswürdige IP-Bereiche beschränken (Massnahme, keine Korrektur)
- Archibus vom Internet fernhalten und nur über VPN erreichbar machen
- Nicht benötigte Workflow-Regeln, die über DWR erreichbar sind, entfernen oder deaktivieren
Ausnutzung
- Keine bekannte Ausnutzung in freier Wildbahn; CISA-SSVC-Bewertung: Exploitation none, Automatable yes
- Rapids detaillierte technische Beschreibung ist öffentlich; VulDB listet keinen Exploit
- Die Kette ist für fähige Angreifer als reproduzierbar einzustufen
Unsere Empfehlung
- Alle Archibus-Instanzen inventarisieren und exakte Versionen erfassen
- Nach Test in einer Nicht-Produktionsumgebung auf 2025.02 oder neuer aktualisieren
- Bis zur Korrektur externen Zugriff sperren und DWR-Endpunkte einschränken
- Alle drei zusammenhängenden Rapid7-Befunde gemeinsam beheben
- Logs und Webverzeichnisse auf unerwartete Dateien prüfen; bei Verdacht auf Missbrauch Zugangsdaten rotieren
- Eptura um Bestätigung des Status für 2025.01 und ältere Versionen bitten
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Rapid7: Authentication Bypass, Remote Code Execution, and Database Read in Eptura Archibus (FIXED) www.rapid7.com
- OpenCVE: CVE-2026-107186 app.opencve.io
- VulDB: CVE-2026-107186 vuldb.com
- Safeguard: Eptura Archibus CVE-2026-107186 auth bypass safeguard.sh
- Hol.org: CVE-2026-107186 hol.org
- Strix: CVE-2026-107186 www.strix.ai
- The Layman Security: Eptura Archibus RCE thelaymansecurity.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 07:46.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.