Rdiffweb: Rechteausweitung zu Administrator in der Benutzerverwaltungs-API
Zusammenfassung
Rdiffweb, eine Weboberfläche zur Verwaltung von rdiff-backup-Repositories, enthält eine Schwachstelle in der Berechtigungsverwaltung des Benutzerverwaltungs-API-Endpunkts (/api/users/{username_or_id}). Ein authentifizierter Benutzer mit einem Konto mit niedrigen Rechten kann den Parameter role in einer POST-Anfrage ändern und seine Rechte auf Administrator erhöhen. Der Angriff erfolgt über das Netzwerk und erfordert nur ein gültiges Benutzerkonto; der CVSS-Wert von 8.8 basiert auf dem CVE-Eintrag, während VulDB 6.3 angibt.
Betroffen
- Rdiffweb-Versionen vor 2.10.6 (CNA: 0 bis < 2.10.6)
- Versionen vor 2.10.6, veröffentlicht von ikus-soft, sind laut mehreren Quellen betroffen
Behoben in
- Auf Rdiffweb 2.10.6 oder neuer aktualisieren
- Fix-Commits: b529adf2c13a210d10aaf56325de4d3fb2428abe und 4ce35fc2d23ac1cc789186f32bf76603b2eddeb3
Umgehung
- Unbekannt. Kein Workaround des Herstellers gefunden.
- Bis zum Update die Anzahl der Konten begrenzen, den Zugriff auf die Weboberfläche einschränken sowie Administratorkonten und kürzliche Rollenänderungen prüfen.
Ausnutzung
- Bekannte Ausnutzung in freier Wildbahn: Unbekannt. Laut Strix nicht im CISA KEV; eine Bestätigung durch CISA wurde nicht gefunden.
- Öffentlicher Proof of Concept: keiner gefunden.
- CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
- EPSS: 0.0038 (niedrig) zum Zeitpunkt der Momentaufnahme.
Unsere Empfehlung
- Alle Rdiffweb-Instanzen, insbesondere internetseitig erreichbare, vorrangig auf Version 2.10.6 oder neuer aktualisieren.
- Bestehende Benutzerkonten auf unerwartete Administratorrollen prüfen und kürzliche Rollenänderungen überprüfen.
- Kontoerstellung einschränken und den Zugriff auf die Weboberfläche auf vertrauenswürdige Netze beschränken.
- Logs auf unerwartete Rollenänderungen in der Benutzerverwaltungs-API überwachen.
- Beachten, dass der NVD-Status als Deferred bzw. ausstehend gemeldet wurde; Details anhand der GitLab-Commits verifizieren.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitLab Rdiffweb repository gitlab.com
- Fix commit b529adf2c13a210d10aaf56325de4d3fb2428abe gitlab.com
- Fix commit 4ce35fc2d23ac1cc789186f32bf76603b2eddeb3 gitlab.com
- OSV record CVE-2026-109119 osv.dev
- VulDB CVE-2026-109119 vuldb.com
- Vulners CVELIST CVE-2026-109119 vulners.com
- Strix CVE-2026-109119 www.strix.ai
- Patch Gazette: Rdiffweb privilege fix patchgazette.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 16:04.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.