cc-connect: Fehlende Authentifizierung im MAX-Webhook-Modus
Zusammenfassung
cc-connect bis Version 1.5.0 akzeptiert nicht authentifizierte Updates auf dem Webhook-Listener des MAX-Plattform-Adapters, wenn kein webhook_secret konfiguriert ist. Ein Angreifer, der den Listener auf Port 8080 erreichen kann, kann Updates mit einer erlaubten oder administrativen user_id fälschen und privilegierte Befehle wie /shell auf dem Host ausführen. Die Schwachstelle betrifft nur Installationen mit MAX-Webhook-Modus ohne Secret.
Betroffen
- cc-connect Versionen 0 bis 1.5.0 (Standardkonfiguration ist nicht betroffen)
- Nur der MAX-Plattform-Adapter im Webhook-Modus ohne webhook_secret
Behoben in
Unbekannt.
- Kein korrigiertes Release gefunden; siehe https://github.com/chenhg5/cc-connect/releases
- Ein vorgeschlagener Fix wird im Issue #1968 (PR #1969) verfolgt; Merge-Status unbekannt
Umgehung
- Für den MAX-Webhook-Modus ein nicht leeres webhook_secret setzen
- Den Webhook-Listener nicht ins Internet exponieren; auf vertrauenswürdige Netzwerke oder einen Reverse Proxy mit Zugriffskontrolle beschränken
- Webhook-Modus für MAX deaktivieren, falls er nicht benötigt wird
- Einschränken, welche Benutzer Befehle senden können, damit Shell-Zugriff begrenzt wird
Ausnutzung
- CISA SSVC: Exploitation none, nicht automatisierbar, technische Auswirkung total
- Nicht als aktiv ausgenutzt bekannt; kein öffentlicher Proof of Concept gefunden
- EPSS 0.00451
- Das GitHub-Issue beschreibt die Schwachstelle im Detail
Unsere Empfehlung
- Prüfen, ob cc-connect 1.5.0 oder älter mit MAX-Webhook-Modus und ohne webhook_secret läuft
- Falls betroffen, ein webhook_secret setzen und den Netzwerkzugriff auf den Listener einschränken oder den Webhook-Modus deaktivieren
- Zusätzlich das generelle Webhook-Server-Issue #1964 (PR #1965) prüfen
- Den Hersteller auf ein korrigiertes Release überwachen und zeitnah aktualisieren
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- cc-connect GitHub repository github.com
- max.go at v1.5.0 github.com
- cc-connect issue #1968 github.com
- VulnCheck advisory www.vulncheck.com
- VulDB entry vuldb.com
- OpenCVE CVE-2026-108549 app.opencve.io
- Vulners CVE-2026-108549 vulners.com
- cc-connect pull request #1965 github.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 04:45.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.