Floci: Codeinjektion in API-Gateway-VTL-Mapping-Templates (RCE)

Zusammenfassung

Floci, ein lokaler AWS-Emulator, enthält in den Versionen 1.1.0 bis vor 2.2.0 eine Codeinjektions-Schwachstelle in seiner VTL-Template-Engine (VtlTemplateEngine). Ein nicht authentifizierter Angreifer, der die Floci-API erreichen kann, kann eine REST-API mit einer MOCK-Integration erstellen, deren Velocity-Template über $util-Reflection Betriebssystembefehle innerhalb der Floci-JVM ausführt. Ein öffentlicher Proof-of-Concept existiert, und CISA SSVC bewertet die Ausnutzung als PoC, automatisierbar, mit vollständiger technischer Auswirkung.

Betroffen

• Floci 1.1.0 bis vor 2.2.0 (Standardkonfiguration)
• CVE-Eintrag und Hersteller: Versionen vor 2.2.0 sind betroffen; Drittquellen nennen 2.2.1 als korrigierte Version

Behoben in

• Floci 2.2.0 (gemäss CVE-Eintrag und Release-Tag)
• Einige Drittquellen empfehlen 2.2.1 oder neuer; bitte gegen das Herstelleradvisory GHSA-3p4c-wp7w-mgjx prüfen

Umgehung

• Keine vom Hersteller veröffentlichte Workaround-Massnahme gefunden.
• Floci nur an localhost binden und Port 4566 nicht in gemeinsam genutzten, Firmen-, Gast- oder Cloud-Netzwerken exponieren.
• Zugriff auf den Floci-Port mit Host- oder Netzwerk-Firewallregeln einschränken.
• Floci in einem isolierten Container oder einer VM mit minimalen Rechten betreiben, ohne Zugriff auf Produktionsgeheimnisse oder -netzwerke.

Ausnutzung

• Öffentlich verfügbarer Proof-of-Concept-Exploit (in den CVE-Referenzen).
• Ein Metasploit-Modul wurde als Pull Request eingereicht; der Merge-Status ist nicht bestätigt.
• Nicht im CISA-KEV-Katalog; in den geprüften Quellen wurde keine bestätigte Ausnutzung in freier Wildbahn gefunden.
• EPSS niedrig (etwa 0.007 bis 0.009).

Unsere Empfehlung

• Floci auf 2.2.1 oder neuer aktualisieren (mindestens 2.2.0) und das Herstelleradvisory für die endgültige korrigierte Version prüfen.
• Alle Floci-Instanzen erfassen, einschliesslich Entwickler-Arbeitsplätze und CI-Runner, und prüfen, ob sie aus anderen Netzwerken erreichbar sind.
• Netzwerkzugriff auf den Floci-Port 4566 entfernen, sofern nicht zwingend erforderlich.
• Den lokalen Zustand von Floci auf unerwartete REST-APIs oder Integrationen als Hinweis auf eine Kompromittierung prüfen.
• Den Host, auf dem Floci läuft, auf ungewöhnliche Child-Prozesse der Java-Anwendung überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.

• Proof of Concept auf GitHub (1 Repositories) iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).
  Sidesploitx/CVE-2026-108598

Quellen der Recherche

• GitHub Security Advisory GHSA-3p4c-wp7w-mgjx github.com
• Floci release 2.2.0 github.com
• Fix commit 144b90e6 github.com
• VulnCheck advisory www.vulncheck.com
• VtlTemplateEngine.java at commit 560b3e4 github.com
• OSV entry CVE-2026-108598 osv.dev

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 02:35.