Eclipse ioFog Controller: Authentifizierungsumgehung in WebSocket-Routen für Exec und Logs

Zusammenfassung

Eclipse ioFog Controller in den Versionen 3.8.0 bis 3.9.1 prüft bei WebSocket-Upgrades des Operators für die Routen Exec und Logs die Signatur des JWT nicht. Der Token-Inhalt wird nur dekodiert und die darin enthaltenen Gruppen werden für RBAC verwendet, sodass ein selbst erstelltes Token mit der Gruppe admin volle Administratorrechte erhält. Ein Angreifer, der die UUID eines laufenden Microservices oder Fogs kennt, kann eine Exec- oder Log-Sitzung öffnen, Befehle im Workload ausführen und dessen Logs lesen. HTTP-Routen und Agent-WebSockets sind nicht betroffen.

Betroffen

• Eclipse ioFog Controller 3.8.0 bis 3.9.1
• Standardkonfiguration ist betroffen
• Versionen 3.7 und früher waren nicht Teil der Prüfung

Behoben in

• Eclipse ioFog Controller 3.9.2 (prüft das Access-Token vor RBAC bei benutzerseitigen Exec- und Log-WebSockets)

Umgehung

• Unbekannt. Der Hersteller nennt keine Workaround-Massnahme.
• Als allgemeine Massnahme den Zugriff auf die Management-Schnittstelle des Controllers auf vertrauenswürdige Netze beschränken.

Ausnutzung

• CISA SSVC: Exploitation none, Automatable yes, Technical Impact total.
• VulDB meldet keinen bekannten Exploit. Kein öffentlicher Proof of Concept gefunden.
• In aktuellen Quellen nicht als aktiv ausgenutzt markiert.

Unsere Empfehlung

• Eclipse ioFog Controller auf 3.9.2 aktualisieren, falls Version 3.8.0 bis 3.9.1 im Einsatz ist.
• Netzwerkzugriff auf den API-Port des Controllers bis zur Aktualisierung einschränken.
• Logs auf unerwartete Exec- oder Log-WebSocket-Sitzungen prüfen.
• Die weiteren Korrekturen im Release 3.9.2 prüfen, insbesondere das TLS-Zertifikatsproblem des Operators (CVE-2026-115216).

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Eclipse GitLab CVE assignment #468 gitlab.eclipse.org
• Eclipse GitLab vulnerability report #1267 gitlab.eclipse.org
• Controller v3.9.2 release github.com
• OpenCVE CVE-2026-113620 app.opencve.io
• VulDB 422777 vuldb.com
• HOL CVE-2026-113620 hol.org
• Operator v3.9.2 release github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 17:23.