Coder: Credential-Diebstahl über Präfixvergleich bei Workspace-Proxy-Hostnamen
Zusammenfassung
Coder enthält einen Fehler bei der Validierung von Workspace-Proxy-Hostnamen, bei dem ein Präfixvergleich dazu führt, dass eine vom Angreifer kontrollierte Domain als Proxy vertraut wird. Ein Angreifer, der eine solche Domain besitzt und einen authentifizierten Benutzer zu einem präparierten Link auf /api/v2/applications/auth-redirect lockt, kann den application_connect-API-Schlüssel des Opfers abfangen. Mit diesem Schlüssel kann er anschliessend auf die Workspace-Applikationen des Opfers zugreifen. Der Angriff setzt ein gültiges Coder-Konto, eine Interaktion des Benutzers und eine Domain voraus, die ein Präfix einer echten Workspace-Proxy-URL ist.
Betroffen
- Coder 2.35.0 bis vor 2.35.4
- Coder 2.34.0 bis vor 2.34.8
- Coder 2.33.0 bis vor 2.33.12
- Coder vor 2.29.20
- Gemäss Hersteller sind nur Installationen betroffen, die Workspace-Proxys verwenden.
Behoben in
- Coder 2.35.4
- Coder 2.34.8
- Coder 2.33.12
- Coder 2.29.20
- Die Release-Linien 2.30 bis 2.32 sind end-of-life und erhalten keinen Patch.
Umgehung
Der Hersteller dokumentiert keinen Workaround, der nur über die Konfiguration funktioniert. Auf eine gepatchte Version aktualisieren.
Ausnutzung
- Keine bekannte Ausnutzung in freier Wildbahn.
- Kein öffentlicher Proof of Concept gefunden.
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
Unsere Empfehlung
- Alle Coder-Installationen und Workspace-Proxys identifizieren und deren Versionen prüfen.
- Auf die gepatchte Version des jeweiligen Zweigs aktualisieren: 2.35.4, 2.34.8, 2.33.12 oder 2.29.20.
- Bis zur Aktualisierung die Auth-Redirect-Logs auf ungewöhnliche Anfragen und unerwartete Proxy-Hostnamen prüfen.
- Die Herstellerhinweise und die NVD auf Aktualisierungen überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-h58h-qvv5-xvwg github.com
- VulnCheck advisory www.vulncheck.com
- CVE record (CNA data) raw.githubusercontent.com
- Coder release v2.35.4 release notes newreleases.io
- Coder release v2.34.8 release notes newreleases.io
- VulDB CVE-2026-111927 vuldb.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 02:06.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.