Vearch: Unzureichende Berechtigungsprüfung bei Rollen

Zusammenfassung

Vearch 3.5.2 bis 3.5.9 ignoriert die gespeicherten Berechtigungsstufen ReadOnly und None für Ressourcen, die einer Rolle zugewiesen sind. Ein authentifizierter Benutzer ohne Root-Rechte kann dadurch Dokumente schreiben und löschen, obwohl er nur Lesezugriff haben sollte, oder über die Rollen-API (PUT /roles) seiner Rolle WriteRead-Rechte zuweisen, was bis zu Cluster-Administratorrechten führen kann. Der Angriff setzt ein gültiges Konto ohne Root-Rechte voraus.

Betroffen

• Vearch 3.5.2 bis 3.5.9
• Standardkonfiguration: nicht betroffen (gemäss CNA)

Behoben in

• Unbekannt. In den Quellen wurde weder eine Sicherheitsmitteilung des Herstellers noch eine korrigierte Version gefunden.
• Neueste in den Quellen gefundene Version: v3.5.9, die im betroffenen Bereich liegt.

Umgehung

• Vom Hersteller nicht dokumentiert.
• Netzwerkzugriff auf den Master und die API von Vearch auf vertrauenswürdige Hosts und Administrationsnetze beschränken.
• Rollen prüfen und nicht benötigte Konten ohne Root-Rechte entfernen.

Ausnutzung

• CISA SSVC: Ausnutzungsstatus 'poc', nicht automatisierbar, totale technische Auswirkung.
• Nicht als aktiv ausgenutzt (KEV) markiert.
• Ein öffentlicher Proof of Concept konnte nicht verifiziert werden.
• EPSS: 0.00283 (niedrig).

Unsere Empfehlung

• Prüfen, ob Vearch 3.5.2 bis 3.5.9 eingesetzt wird und ob die API aus unvertrauenswürdigen Netzen erreichbar ist.
• Zugriff auf die API einschränken und alle Konten ohne Root-Rechte sowie alle Rollen überprüfen.
• Auf unerwartete Dokumentänderungen und Rollenänderungen überwachen.
• Das upstream-Repository auf eine korrigierte Version prüfen und sobald verfügbar aktualisieren.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• OSV: CVE-2026-108746 osv.dev
• VulnCheck advisory: Vearch incorrect authorization www.vulncheck.com
• Vearch GitHub repository github.com
• Vearch releases github.com
• Vearch user.go at affected commit github.com
• Vearch role_service.go at affected commit github.com
• HackMD write-up: Vearch RBAC privilege level ignored hackmd.io
• HOL Guard: CVE-2026-108746 hol.org

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 05:03.