SuggestArr: Authentifizierungsumgehung durch Spoofing des X-Forwarded-For-Headers

Zusammenfassung

SuggestArr vor 3.0.0 vertraut im Authentifizierungsmodus local_bypass dem vom Client gesendeten X-Forwarded-For-Header, um zu bestimmen, ob eine Anfrage von einer vertrauenswürdigen Adresse stammt. Ein nicht authentifizierter Angreifer aus dem Netzwerk, der die Weboberfläche erreichen kann, kann eine gefälschte Loopback- oder private Adresse senden und so eine administrative Sitzung erhalten. Dadurch werden administrative Endpunkte wie die Benutzerliste und die Job-Konfigurationen offengelegt. Der Angriff setzt voraus, dass der Modus local_bypass aktiviert ist und die Instanz erreichbar ist; Zugangsdaten sind nicht nötig.

Betroffen

• SuggestArr 1.0.4 bis vor 3.0.0 (CNA-Bereich, VulnCheck)
• Herstellerhinweis: bis einschliesslich 2.16.1
• Versionen vor 1.0.4: Unbekannt.
• Nur Instanzen mit aktiviertem Authentifizierungsmodus local_bypass sind betroffen.

Behoben in

• Aktualisierung auf SuggestArr 3.0.0 oder neuer. Es existieren neuere 3.x-Versionen; empfohlen wird die neueste stabile 3.x-Version.
• Backports auf 2.x: Unbekannt.

Umgehung

• Authentifizierungsmodus local_bypass deaktivieren, falls er nicht benötigt wird.
• Zugriff auf die Weboberfläche einschränken (VPN, SSO oder IP-Allowlist am Perimeter).
• Sicherstellen, dass der Reverse Proxy vom Client gesendete X-Forwarded-For-Header überschreibt. Ein Proxy allein verhindert den Angriff nicht, da der Header vom Client gesetzt wird.

Ausnutzung

• Proof of Concept: Der Herstellerhinweis enthält einen Proof-of-Concept-Abschnitt; die SSVC-Daten von CISA stufen die Ausnutzung als 'poc' ein.
• Bekannte Ausnutzung in freier Wildbahn: Nicht bekannt.
• Automatisierbar: ja.

Unsere Empfehlung

• Alle SuggestArr-Instanzen inventarisieren, inklusive Docker- und Community-App-Store-Installationen, und deren Versionen erfassen.
• Jetzt auf die neueste 3.x-Version aktualisieren.
• Authentifizierungsmodus prüfen und local_bypass deaktivieren, falls nicht benötigt.
• Direkte Exposition ins Internet entfernen oder den Dienst hinter ein VPN oder SSO stellen.
• Logs auf unerwartete Zugriffe auf /api/users oder /api/jobs von unbekannten IP-Adressen prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-fcjm-xhw8-pmh5 github.com
• SuggestArr v3.0.0 release github.com
• VulnCheck advisory www.vulncheck.com
• VulDB entry 422896 vuldb.com
• OpenCVE CVE-2026-113703 app.opencve.io

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 06:16.