Eclipse ioFog Operator: Deaktivierte TLS-Zertifikatsprüfung
Zusammenfassung
Eclipse ioFog Operator in den Versionen 3.8.0 bis vor 3.9.2 prüft beim Kontakt mit der Controller-API oder einem externen OIDC-Issuer keine TLS-Zertifikate. Ein Angreifer auf dem Netzwerkpfad zwischen Operator und diesen Diensten kann ein beliebiges Zertifikat präsentieren und das OAuth-Client-Secret (externer Modus) bzw. das Bootstrap-Admin-Passwort des Controllers (eingebetteter Modus mit aktiviertem Controller-HTTPS) abgreifen. Zusätzlich kann er das Zugriffstoken erlangen, das der Operator für spätere Controller-API-Aufrufe speichert. Voraussetzung ist eine Man-in-the-Middle-Position; ein Angriff aus dem Internet auf einen exponierten Dienst wird nicht beschrieben.
Betroffen
- Eclipse ioFog Operator 3.8.0 bis vor 3.9.2
- Laut CVE-Eintrag ist die Standardkonfiguration nicht betroffen.
Behoben in
- Aktualisierung auf Eclipse ioFog Operator 3.9.2 (veröffentlicht am 26. Oktober 2026)
- Die Release Candidates 3.9.2-rc.1 und rc.2 nicht verwenden
Umgehung
- Kein vom Hersteller dokumentierter Workaround. Die Aktualisierung auf 3.9.2 ist die Massnahme.
- Übergangsmassnahme (unsere Empfehlung, nicht Herstellervorgabe): Datenverkehr zwischen Operator und Controller bzw. OIDC-Issuer bis zur Aktualisierung von nicht vertrauenswürdigen Netzen fernhalten.
Ausnutzung
- Keine bekannte Ausnutzung.
- Kein öffentlicher Proof of Concept gefunden.
- Laut einem Drittanbieter-Tracker nicht im CISA-KEV-Katalog enthalten (nicht direkt geprüft).
Unsere Empfehlung
- Installationen des ioFog Operators, des Helm Charts und der CLI inklusive Versionen erfassen.
- Betroffene Installationen auf 3.9.2 aktualisieren. Falls verwendet, auch verwandte Komponenten wie CLI und Go SDK aktualisieren.
- Falls der Operator vor der Aktualisierung über einen nicht vertrauenswürdigen Netzwerkpfad lief, das OAuth-Client-Secret bzw. das Bootstrap-Admin-Passwort des Controllers rotieren und vom Operator gespeicherte Token widerrufen.
- Netzwerkpfade zwischen Operator und Controller bzw. OIDC-Issuer absichern.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub release v3.9.2 (eclipse-iofog/iofog-operator) github.com
- Pull request #79: TLS verification for Controller and OIDC github.com
- Eclipse CVE publication request #519 gitlab.eclipse.org
- Eclipse vulnerability report #1064 gitlab.eclipse.org
- VulDB entry 427172 vuldb.com
- Vulners OSV record CVE-2026-115216 vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 05:23.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.