Corteza: Fehlerhafte Berechtigungsprüfung in Anhang-Endpunkten legt private Dateien offen

Zusammenfassung

Corteza bis einschliesslich 2024.9.10 enthält eine fehlerhafte Berechtigungsprüfung in den Anhang-Endpunkten von Compose. Ein nicht authentifizierter Angreifer, der die ID eines privaten Anhangs eines Datensatzes oder Moduls kennt oder ermittelt, kann die Originaldatei oder Vorschau ohne Token oder Signatur abrufen, indem er das URL-Segment kind auf page, icon oder namespace setzt. Dadurch lassen sich Dateien über Namespace- und Datensatzgrenzen hinweg lesen, was personenbezogene oder geschäftskritische Daten offenlegen kann.

Betroffen

• Corteza bis einschliesslich 2024.9.10
• Versionen der Linie 2024.9.x sind nicht gepatcht
• Installationen, die auf cortezaproject/corteza:latest eingestellt sind, wechseln beim nächsten Pull auf 2026.9; fixierte 2024.9-Images bleiben verwundbar

Behoben in

• Auf Corteza 2026.9 oder neuer aktualisieren. Das Changelog des Herstellers besagt, dass Sicherheitskorrekturen nicht in 2024.9 zurückportiert werden.
• Genaue gepatchte Version 2026.9.x: Unbekannt.
• Der Changelog-Eintrag verweist auf Commit 3b68aa3 und schliesst den unauthentifizierten Zugriff auf private Datensatz-Anhänge; die Zuordnung zu dieser CVE ist abgeleitet.

Umgehung

• Kein Workaround des Herstellers dokumentiert.
• Netzwerkzugriff auf die Corteza-Instanz einschränken (VPN oder Allowlist), bis das Update eingespielt ist.
• Logs des Webservers auf Anfragen an die Anhang-Routen mit kind auf page, icon oder namespace prüfen.

Ausnutzung

• Keine bekannte Ausnutzung in freier Wildbahn.
• CISA SSVC: Exploitation none, Automatable no, Technical Impact partial.
• Nicht im CISA-KEV-Katalog aufgeführt.
• Eine öffentliche technische Beschreibung existiert; es wurde kein öffentliches Proof-of-Concept-Repository gefunden.

Unsere Empfehlung

• Alle selbst betriebenen Corteza-Instanzen erfassen, einschliesslich Docker-Deployments und fixierter 2024.9-Tags.
• Nach Test und mit Backup auf Corteza 2026.9 oder neuer aktualisieren.
• Bis dahin den Zugriff auf die Instanz einschränken und Logs auf ungewöhnliche Anhang-Anfragen überwachen.
• Falls Dateien offengelegt worden sein könnten, die Datenschutzfolgen nach revDSG prüfen und allfällige Meldepflichten abklären.
• Die Priorität ist hoch für aus dem Internet erreichbare Instanzen oder Instanzen mit sensiblen Daten.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• OSV record CVE-2026-108729 osv.dev
• Vulners CVE-2026-108729 vulners.com
• OpenCVE CVE-2026-108729 app.opencve.io
• Corteza 2026.9 changelog docs.cortezaproject.org
• Corteza 2024.9 changelog docs.cortezaproject.org
• VulnCheck advisory www.vulncheck.com
• Fix commit 3b68aa3 github.com
• Vulnerable code: attachment.go (REST) github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 16:41.