Semaphore UI: Remote Code Execution durch Überschreiben von Ansible-Variablen

Zusammenfassung

Semaphore UI bis Version 2.19.16 erlaubt Benutzern mit der Rolle task_runner, geschützte Ansible-Variablen zu überschreiben, indem sie beliebige Schlüssel im JSON der Task-Umgebung angeben. Ein Angreifer mit einem solchen Konto kann Variablen wie ansible_ssh_common_args mit einem ProxyCommand oder ansible_connection=local setzen und so Befehle als Benutzer des Semaphore-Servers ausführen. Dadurch können Verschlüsselungsschlüssel, SSH-Schlüssel und weitere gespeicherte Geheimnisse offengelegt werden.

Betroffen

• Semaphore UI 0 bis 2.19.16 (gemäss CVE-Eintrag)
• Versionen über 2.19.16: gemäss CVE-Eintrag nicht betroffen

Behoben in

Unbekannt. Es ist keine korrigierte Version bestätigt. Es darf nicht davon ausgegangen werden, dass eine neuere Version behoben ist.

Umgehung

• Der CVE-Eintrag nennt keine Massnahme zur Umgehung.
• Die Rolle task_runner bei Benutzern entfernen, die sie nicht benötigen.
• Den Zugriff auf die Weboberfläche von Semaphore auf vertrauenswürdige Netzwerke oder ein VPN beschränken.
• Den Semaphore-Dienst mit einem dedizierten Betriebssystemkonto mit minimalen Rechten betreiben und die gespeicherten SSH-Schlüssel und Geheimnisse einschränken.

Ausnutzung

• Authentifizierung erforderlich: Der Angreifer benötigt ein gültiges Konto mit der Rolle task_runner.
• Keine bestätigte Ausnutzung in freier Wildbahn.
• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
• Ein öffentlicher Proof of Concept ist nicht bestätigt.

Unsere Empfehlung

• Prüfen, welche Konten die Rolle task_runner besitzen, und die Rolle dort entfernen, wo sie nicht benötigt wird.
• Die Weboberfläche von Semaphore nicht aus dem Internet erreichbar machen.
• Aktuelle Task-Vorlagen und Task-Umgebungsdaten auf unerwartete Ansible-Verbindungseinstellungen prüfen und die Audit-Logs kontrollieren.
• Bei Verdacht auf Missbrauch SSH-Schlüssel und gespeicherte Geheimnisse erneuern und das Serverkonto als kompromittiert behandeln.
• Die Releases des Herstellers und den upstream Pull Request auf eine Korrektur beobachten und sofort aktualisieren, sobald eine verfügbar ist.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Semaphore UI GitHub repository github.com
• Semaphore tasks.go at v2.19.16 github.com
• Semaphore TaskRunner.go at v2.19.16 github.com
• Semaphore pull request 3888 github.com
• VulnCheck advisory www.vulncheck.com
• VulDB entry 422412 vuldb.com
• OpenCVE entry CVE-2026-112305 app.opencve.io
• Strix CVE entry CVE-2026-112305 www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 02:03.