Vanus: Fehlende Authentifizierung im CloudEvents-HTTP-Empfänger des Gateways

Zusammenfassung

Vanus-Versionen 0.8.0 bis 0.9.0 authentifizieren Ereignisse nicht, die an den CloudEvents-HTTP-Empfänger des Gateways gesendet werden. Ein nicht authentifizierter Angreifer aus dem Netzwerk kann gefälschte CloudEvents an beliebige Eventbusse senden, indem er die Token-Authentifizierung und die Prüfungen der Publish-Berechtigung umgeht. Die gefälschten Ereignisse werden gespeichert und an die Subscription-Senken zugestellt, was die Datenintegrität beeinträchtigt und nachgelagerte Aktionen auslösen kann. Der CVE-Eintrag beschreibt keine Auswirkung auf die Vertraulichkeit.

Betroffen

• Vanus 0.8.0 bis 0.9.0 (CVE-Eintrag: >= 0.8.0, <= 0.9.0)
• Der CVE-Eintrag führt den Standardstatus als nicht betroffen auf; prüfen Sie die tatsächliche Konfiguration Ihrer Umgebung.

Behoben in

Unbekannt. Es konnte weder eine Herstellerwarnung noch eine korrigierte Version bestätigt werden. Gehen Sie nicht davon aus, dass 0.9.0 sicher ist.

Umgehung

• Beschränken Sie den Netzwerkzugriff auf den HTTP-Port des CloudEvents-Empfängers gateways (nur clusterintern oder hinter einem authentifizierenden Proxy bzw. einer Ingress-Richtlinie).
• Prüfen Sie die Auswirkungen dieser Massnahmen auf Ihre Umgebung, bevor Sie sie anwenden.

Ausnutzung

• Nicht als ausgenutzt bekannt; nicht im KEV-Katalog der CISA aufgeführt.
• CISA-SSVC-Bewertung: Ausnutzung keine, automatisierbar ja, technische Auswirkung teilweise.
• Kein öffentlicher Proof of Concept gefunden; dies beweist jedoch nicht, dass keiner existiert.

Unsere Empfehlung

• Erfassen Sie alle Vanus-Installationen inklusive Versionen, Kubernetes-Manifeste und Container-Images.
• Prüfen Sie, ob der Gateway-Port aus nicht vertrauenswürdigen Netzwerken erreichbar ist, und beschränken Sie den Zugriff gegebenenfalls.
• Behandeln Sie Vanus 0.8.0 bis 0.9.0 als hohe Priorität, da die verwandte CVE-2026-111998 Standardzugangsdaten mit Cluster-Admin-Zugriff beschreibt.
• Beobachten Sie die Herstellerveröffentlichungen und das GitHub-Issue auf eine korrigierte Version und prüfen Sie diese vor einem Upgrade.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• VulnCheck advisory www.vulncheck.com
• Vulnerable code: gateway.go at v0.9.0 github.com
• GitHub issue #647 github.com
• Threat intelligence mirror for CVE-2026-111999 cve.threatint.com
• Strix CVE-2026-111999 www.strix.ai
• Vanus on pkg.go.dev pkg.go.dev

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 02:05.