MateCloud: Fehlende Autorisierung in Storage-Admin-API

Zusammenfassung

MateCloud bis einschliesslich 5.0.8 prüft die Autorisierung auf den Endpunkten /api/v1/admin/storage des StorageController nicht. Jeder authentifizierte Benutzer, auch ein selbst registriertes Konto, kann Objekte auflisten, Pre-Signed-Download-URLs für Dateien anderer Benutzer erzeugen, Objekte löschen und Dateien unter gewählten Schlüsseln hochladen.

Betroffen

• mateaix MateCloud, Versionen 0 bis einschliesslich 5.0.8
• Die Standardkonfiguration wird vom CNA als nicht betroffen aufgeführt; die betroffene Konfiguration ist nicht näher spezifiziert.

Behoben in

• Unbekannt. Es wurde weder eine Herstellerwarnung noch eine bestätigte korrigierte Version gefunden.
• OSV führt einen Commit (57b1edc0f0b8b964448e2d41ef7ba98751e71d8d) als Korrektur auf, der gleichzeitig als verwundbarer Code-Verweis genannt wird; dies ist nicht verifiziert.

Umgehung

• Kein vom Hersteller veröffentlichter Workaround.
• Den externen Zugriff auf /api/v1/admin/storage am Reverse Proxy oder Gateway auf Admin-Rollen oder interne Netze beschränken.
• Selbstregistrierung deaktivieren, sofern aktiviert.
• Berechtigungen von Bucket-Richtlinien und Zugangsdaten des Objektspeichers überprüfen.

Ausnutzung

• Keine Ausnutzung in freier Wildbahn bekannt; CISA KEV nicht überprüft.
• Kein öffentlicher Proof of Concept gefunden.
• CISA SSVC: Ausnutzung keine, nicht automatisierbar, partielle technische Auswirkung.

Unsere Empfehlung

• Prüfen, ob MateCloud oder eine davon abgeleitete Version in Ihrer Umgebung oder in kundenspezifischen Anwendungen eingesetzt wird.
• Bei mateaix erfragen, welcher Commit oder welche Version die Lücke behebt, und den Code des StorageController selbst überprüfen.
• Bis zur Korrektur den externen Zugriff auf die Storage-Admin-Endpunkte sperren und offene Selbstregistrierung deaktivieren.
• Zugriffsprotokolle des Objektspeichers auf unerwartete Auflistungs-, Download-, Lösch- oder Upload-Aktivitäten prüfen.
• Den Herstellerfix einspielen, sobald er bestätigt ist.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• MateCloud GitHub repository github.com
• StorageController.java at vulnerable commit github.com
• VulnCheck advisory www.vulncheck.com
• HackMD write-up hackmd.io
• OSV CVE-2026-110108 osv.dev
• VulDB 417831 vuldb.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 08:27.