Malcolm: Autorisierungsumgehung im RBAC über nicht aufgelöste /./-Pfadsegmente

Zusammenfassung

Der nginx-Reverse-Proxy von Malcolm und die Lua-basierte rollenbasierte Zugriffskontrolle (RBAC) normalisieren URL-Pfade unterschiedlich, weshalb die Zugriffsprüfung nicht denselben Pfad sieht, den nginx weiterleitet. Ein authentifizierter Benutzer mit einer wenig privilegierten Rolle kann ein "/./"-Segment in eine Anfrage einfügen und so rollenbeschränkte Endpunkte wie Datei-Upload, PHP-Server, htadmin und die Verwaltung der Authentifizierung erreichen. Das Problem betrifft nur Installationen mit Keycloak-Authentifizierung und aktiviertem RBAC; Installationen mit Basic-Authentifizierung sind nicht betroffen.

Betroffen

• Malcolm mit Keycloak-Authentifizierung und aktivierter rollenbasierter Zugriffskontrolle.
• Versionen bis und mit v26.08.0 gemäss GitHub-Advisory GHSA-v66f-cwcm-hf73 und CISA-Advisory.
• Widersprüchliche Angaben: Der CVE-Eintrag nennt 0 bis 26.07.1 als betroffen und 26.08.0 als nicht betroffen. Die genaue Grenze ist beim Hersteller zu überprüfen.

Behoben in

• Auf Malcolm v26.09.0 oder neuer aktualisieren (gemäss GitHub-Advisory und Release Notes).
• Hinweis: Der CVE-Eintrag nennt v26.08.0 als Update-Ziel; v26.09.0 enthält die dokumentierte Korrektur und ist zu verwenden.

Umgehung

• Keine Workaround-Massnahme vom Hersteller dokumentiert.
• Netzwerkzugriff auf das Malcolm-Webinterface einschränken, bis das Update eingespielt ist.

Ausnutzung

• CISA meldet keine bekannte öffentliche Ausnutzung.
• Ob öffentlicher Proof-of-Concept-Code existiert, ist unbekannt.

Unsere Empfehlung

• Prüfen, ob die Malcolm-Installation Keycloak mit RBAC verwendet; falls ja, hohe Priorität ansetzen.
• Auf v26.09.0 oder neuer aktualisieren.
• Benutzerkonten und Rollen überprüfen und Logs auf unerwarteten Zugriff auf die Pfade /upload, /server/php, /htadmin und /auth kontrollieren.
• Netzwerkexposition von Malcolm auf vertrauenswürdige Administratoren begrenzen.
• Zusammen mit den übrigen Malcolm-Schwachstellen aus demselben CISA-Advisory patchen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CISA ICS Advisory ICSA-26-280-01 www.cisa.gov
• CSAF file ICSA-26-280-01 (GitHub) github.com
• GitHub Security Advisory GHSA-v66f-cwcm-hf73 github.com
• Malcolm issue #1106 github.com
• Malcolm pull request #1126 (v26.09.0) github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 20:32.