sshportal: Fehlende Autorisierung im Befehl 'key show' legt private SSH-Schlüssel offen

Zusammenfassung

sshportal, ein SSH-Bastion-Server, prüft in Version 1.19.5 und früher im Management-Shell-Befehl 'key show' die Admin-Rolle nicht. Jeder authentisierte Benutzer, auch ein Nicht-Admin, kann die entschlüsselten privaten SSH-Schlüssel anzeigen lassen, die sshportal für die Verbindung zu Backend-Hosts verwendet. Mit einem solchen Schlüssel kann ein Angreifer direkt auf Backend-Hosts zugreifen und dabei ACLs und die Sitzungsaufzeichnung umgehen.

Betroffen

• sshportal bis 1.19.5 (CNA-Eintrag: 0 bis <= 1.19.5)
• Default-Branch: laut dem öffentlichen Write-up betroffen, nicht gegen den Quellcode des Herstellers geprüft

Behoben in

• Unbekannt. Keine Sicherheitsmitteilung des Herstellers gefunden.
• VulDB empfiehlt ein Upgrade auf 1.19.6 oder neuer; diese Version konnte nicht bestätigt werden.

Umgehung

• Nicht benötigte Nicht-Admin-Konten entfernen und prüfen, wer sich an der Management-Shell anmelden kann.
• Netzwerkzugriff auf die Management-Schnittstelle auf vertrauenswürdige IP-Adressen beschränken (Empfehlung Dritter, keine Herstellerlösung).
• Administrative Rechte auf stark privilegierte Mitarbeitende beschränken.

Ausnutzung

• CISA SSVC (laut CNA-Eintrag): Ausnutzungsstatus 'poc', nicht automatisierbar, partielle technische Auswirkung.
• In den geprüften Quellen nicht als aktiv ausgenutzt (KEV: Nein) markiert.
• Ein öffentliches Write-up existiert; ein öffentlicher Proof of Concept wurde nicht bestätigt.

Unsere Empfehlung

• Alle sshportal-Instanzen identifizieren und die genaue Version erfassen.
• Nicht-Admin-Konten entfernen oder einschränken und den Zugriff auf die Management-Schnittstelle begrenzen.
• Das Upstream-Repository auf eine korrigierte Version überwachen und jede Version vor dem Upgrade verifizieren.
• Die Backend-SSH-Schlüssel, die sshportal erreichen konnte, rotieren und prüfen, insbesondere deren authorized_keys-Dateien und Zugriffsprotokolle.
• Das Audit-Protokoll auf unerwartete Aufrufe von 'key show' prüfen; ob solche Aufrufe protokolliert werden, ist unbekannt.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE record details (VulnCheck advisory) www.vulncheck.com
• Vulnerable code in shell.go (v1.19.5) github.com
• Technical write-up (HackMD) hackmd.io
• VulDB entry CVE-2026-111638 vuldb.com
• Strix CVE summary www.strix.ai
• OpenCVE sshportal app.opencve.io
• sshportal releases github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 13:38.