Jpom: Autorisierungsumgehung über Workspaces hinweg in der SSH-Dateiverwaltung
Zusammenfassung
Jpom bis einschliesslich 2.11.12 enthält eine Autorisierungsumgehung im SshFileController. Ein authentifizierter Benutzer mit SSH-Dateiberechtigungen in einem beliebigen Workspace kann SSH-Asset-IDs anderer Workspaces angeben. Dadurch können Dateien auf SSH-Hosts anderer Workspaces gelesen, verändert, hochgeladen und gelöscht werden. Öffentliches Proof-of-Concept-Material existiert, eine Ausnutzung in freier Wildbahn ist jedoch nicht bekannt.
Betroffen
- Jpom bis einschliesslich 2.11.12
Behoben in
Unbekannt.
Umgehung
- Keine bekannte Workaround-Massnahme des Herstellers.
- SSH-Dateiberechtigungen auf Benutzer beschränken, die sie benötigen.
- Workspace-Mitgliedschaften prüfen, damit Benutzer nur Workspaces erreichen, die sie benötigen.
- Jpom nicht direkt aus dem Internet erreichbar machen; einen VPN-Zugang verwenden.
Ausnutzung
- Öffentlich verfügbare Proof-of-Concept-Beschreibung vorhanden (CISA SSVC: Exploitation poc).
- Laut CISA SSVC nicht automatisierbar.
- Keine Hinweise auf Ausnutzung in freier Wildbahn; nicht in der CISA KEV-Liste.
Unsere Empfehlung
- Prüfen, ob Jpom im Einsatz ist und in welcher Version.
- Prüfen, ob Jpom aus dem Internet erreichbar ist, und falls ja, hinter ein VPN verlagern.
- Workspace-Mitgliedschaften und SSH-Dateiberechtigungen überprüfen.
- Das Jpom-GitHub-Repository auf ein Fix-Release und eine Advisory überwachen und dann zeitnah patchen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Jpom GitHub repository github.com
- SshFileController.java at v2.11.12 github.com
- HackMD write-up: Jpom SSH file cross-workspace IDOR hackmd.io
- VulnCheck advisory: Jpom cross-workspace authorization bypass www.vulncheck.com
- CVE record JSON (cvelistV5) raw.githubusercontent.com
- Strix CVE-2026-111605 www.strix.ai
- VulDB entry 421371 vuldb.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 07:53.
Referenzen der NVD (5)
- https://github.com/dromara/Jpom
- https://github.com/dromara/Jpom/blob/v2.11.12/modules/server/src/main/java/org/dromara/jpom/controller/ssh/Ss…
- https://hackmd.io/@hieuPenguinnn/jpom-ssh-file-cross-workspace-idor
- https://www.vulncheck.com/advisories/jpom-through-2.11.12-cross-workspace-authorization-bypass-via-sshfilecon…
- https://hackmd.io/@hieuPenguinnn/jpom-ssh-file-cross-workspace-idor
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.