OpenSpug Spug: OS-Command-Injection in der Dateiübertragung
Zusammenfassung
Eine Schwachstelle in der Funktion Dateiübertragung (/exec/transfer) von OpenSpug Spug erlaubt eine OS-Command-Injection über manipulierte Anfrageparameter. Laut dem Forscher kann ein Angreifer mit einem Konto mit geringen Rechten und Berechtigung zur Dateiverteilung Befehle auf dem Spug-Server und damit auf allen verwalteten Hosts ausführen. Ein öffentlicher Proof of Concept existiert, und der Hersteller hat auf die Meldung nicht reagiert.
Betroffen
- OpenSpug Spug 3.0, 3.1, 3.2, 3.3, 3.4.0, 4.0.0 und 4.0.1 (gemäss CVE/VulDB; der genaue Bereich ist unklar)
Behoben in
Unbekannt. Es wurde keine korrigierte Version veröffentlicht.
Umgehung
- Dem Hersteller ist keine Workaround-Massnahme bekannt.
- Spug nicht aus dem Internet erreichbar machen; den Zugriff auf vertrauenswürdige IP-Adressen oder ein VPN beschränken.
- Berechtigungen zur Dateiverteilung auf das nötige Minimum reduzieren.
Ausnutzung
- Öffentlicher Proof of Concept verfügbar (VulDB-Status: Proof-of-Concept).
- Keine Hinweise auf Ausnutzung in freier Wildbahn; nicht im CISA KEV aufgeführt.
- CISA SSVC: Exploitation poc, nicht automatisierbar.
- EPSS etwa 1.7%.
Unsere Empfehlung
- Alle Spug-Instanzen mit ihren Versionen inventarisieren.
- Aus dem Internet erreichbare Instanzen sofort offline nehmen oder auf ein VPN bzw. freigegebene IP-Adressen beschränken.
- Konten mit Berechtigung zur Dateiverteilung überprüfen und reduzieren.
- Falls die Instanz exponiert war, den Spug-Server und die verwalteten Hosts auf Anzeichen einer Kompromittierung prüfen.
- Das Repository openspug/spug und die NVD auf einen Fix überwachen; bei ausbleibendem Fix Migration oder Isolation planen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub SECWG/CVE Issue #10 github.com
- VulDB CVE-2026-108540 vuldb.com
- VulDB vuln 416195 vuldb.com
- OpenCVE CVE-2026-108540 app.opencve.io
- Vulners CVE-2026-108540 vulners.com
- Strix CVE-2026-108540 www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 09:02.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.