Cloud Commander: Path Traversal über GET /api/v1/pack

Zusammenfassung

Cloud Commander (cloudcmd) in den Versionen 19.20.2 bis 19.21.1 enthält eine Path-Traversal-Schwachstelle im Endpunkt GET /api/v1/pack. Ein Angreifer kann über URL-kodierte Traversal-Sequenzen beliebige Dateien ausserhalb des konfigurierten --root-Verzeichnisses lesen, zum Beispiel /etc/passwd oder SSH-Privatschlüssel, die als herunterladbares tar.gz-Archiv ausgeliefert werden. Die Lücke betrifft nur Installationen, bei denen --root nicht auf / gesetzt ist, da mit dem Standard-Root / der Vollzugriff auf das Dateisystem beabsichtigt ist. Mit der standardmässigen Konfiguration (Authentifizierung deaktiviert) sind keine Zugangsdaten nötig.

Betroffen

• Cloud Commander (cloudcmd) 19.20.2 bis 19.21.1
• Nur wenn die Option --root auf einen anderen Wert als / gesetzt ist

Behoben in

• Behoben in cloudcmd 19.21.2

Umgehung

• Dem Hersteller ist kein Workaround bekannt.
• Bis zum Update den Netzwerkzugriff auf die Instanz einschränken (VPN, IP-Allowlist oder keine öffentliche Erreichbarkeit).
• Authentifizierung aktivieren, falls sie deaktiviert ist.

Ausnutzung

• Keine bekannte Ausnutzung in freier Wildbahn. CISA SSVC stuft die Ausnutzung als none ein.
• Eine öffentliche Beschreibung existiert; deren Inhalt wurde nicht überprüft.
• Der Angriff ist aus dem Netzwerk möglich und erfordert keine Benutzerinteraktion.

Unsere Empfehlung

• Alle Cloud-Commander-Instanzen inventarisieren, inklusive Container und Testsysteme.
• Auf Version 19.21.2 oder neuer aktualisieren.
• Direkte Internetexposition entfernen und Authentifizierung aktivieren.
• Logs auf Anfragen an /api/v1/pack mit ungewöhnlichen Pfaden prüfen und auf unerwartete Downloads achten.
• Falls eine exponierte Instanz Zugriff auf sensible Dateien hatte, SSH-Schlüssel und Zugangsdaten erneuern.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Cloud Commander: path traversal past --root in GET /api/v1/pack (gist) gist.github.com
• Fix commit 91c0245: server: pack: path traverse github.com
• Cloud Commander release v19.21.2 github.com
• VulnCheck advisory: Cloud Commander path traversal via GET /api/v1/pack www.vulncheck.com
• OSV: CVE-2026-110690 osv.dev

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 04:05.