Vanus: Standardzugangsdaten erlauben Cluster-Admin-Zugriff über Gateway

Zusammenfassung

Vanus in den Versionen 0.8.0 bis 0.9.0 enthält einen fest codierten Admin-Token. Ein nicht authentifizierter Angreifer aus dem Netzwerk kann durch Senden dieses festen Bearer-Tokens an den gRPC-Proxy-Port des Gateways Cluster-Admin-Rechte erlangen. Anschliessend kann er Namespaces, Eventbuses, Benutzer, Tokens und Rollenbindungen verwalten sowie Events lesen oder veröffentlichen. Der CVSS-4.0-Wert beträgt 9.3 (kritisch).

Betroffen

• Vanus 0.8.0 bis 0.9.0 (vanus-labs/vanus)
• Die Standardkonfiguration ist laut CNA-Eintrag nicht betroffen
• Git-Bereiche gemäss OSV: eingeführt bei d35053c, letzte betroffene Version bei d76dc3af

Behoben in

Unbekannt. Zum Zeitpunkt der Recherche wurde keine bestätigte korrigierte Version gefunden.

Umgehung

• Netzwerkzugriff auf den gRPC-Port des Gateways einschränken; Port innerhalb des Clusters oder hinter einem VPN belassen
• Fest codierten Admin-Token ersetzen, sofern das Produkt dies zulässt
• Jeden offengelegten Token als kompromittiert betrachten und rotieren
• Verwendung des Admin-Tokens sowie neue Namespaces, Benutzer, Tokens oder Rollenbindungen, die Sie nicht erstellt haben, überprüfen

Ausnutzung

• Gemäss CVSS-Vektor ist keine Authentifizierung nötig; der Angriff erfordert Netzwerkzugriff auf den Gateway-Port
• CISA SSVC: Ausnutzung 'poc', automatisierbar: ja, technische Auswirkung: total
• Als aktiv ausgenutzt (KEV): nicht bestätigt
• Angriffe in freier Wildbahn: nichts bekannt

Unsere Empfehlung

• Prüfen, ob ein Vanus-Gateway aus unsicheren Netzen, einschliesslich dem Internet, erreichbar ist
• Zugriff auf den gRPC-Port des Gateways aus unsicheren Segmenten sofort blockieren
• Festen Admin-Token ersetzen und Logs auf Missbrauch prüfen
• Auf den Fix des Herstellers achten (Issue #647 und Releases) und späteren Versionen nicht vertrauen, bis deren Sicherheit bestätigt ist
• Die verwandten CVE-2026-111999 und CVE-2026-112000 im selben Produkt ebenfalls prüfen

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE record reference: vanus controller.go (v0.9.0) github.com
• CVE record reference: vanus constants.go (v0.9.0) github.com
• Vanus issue #647 github.com
• VulnCheck advisory www.vulncheck.com
• OSV entry CVE-2026-111998 osv.dev
• Strix CVE entry www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 01:21.