Snipe-IT: Authentifizierungsumgehung über Google-SSO-Callback
Zusammenfassung
Snipe-IT vor Version 8.6.3 prüft beim Anmelden über Google SSO das Kennzeichen für die Aktivierung nicht. Ein deaktivierter Benutzer, dessen Benutzername mit der E-Mail-Adresse seines Google-Kontos übereinstimmt und dessen Google-Identität noch aktiv ist, kann sich anmelden und eine Sitzung mit seinen ursprünglichen Berechtigungen zurückerlangen, einschliesslich Administratorrechten. Voraussetzung sind aktiviertes Google SSO und ein passendes Benutzerkonto.
Betroffen
- Snipe-IT bis und mit 8.6.2 (betroffen: vor 8.6.3)
- Betroffene Komponente: GoogleAuthController::handleGoogleCallback
Behoben in
- Snipe-IT 8.6.3 und neuer (Korrektur im Commit 5fea2fadc0)
Umgehung
- Google SSO deaktivieren, falls es nicht benötigt wird.
- Google-Workspace-Konten deaktivierter Benutzer sperren oder löschen oder deren Snipe-IT-Konten entfernen.
- Unbekannt: Es ist keine weitere Massnahme des Herstellers bestätigt.
Ausnutzung
- Zum Zeitpunkt der Erstellung ist kein öffentlicher Exploit-Code bestätigt.
- Nicht als aktiv ausgenutzt gelistet (CISA KEV).
- CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
Unsere Empfehlung
- Snipe-IT auf Version 8.6.3 oder neuer aktualisieren.
- Falls Google SSO aktiviert ist, deaktivierte Konten mit E-Mail-artigen Benutzernamen prüfen und sicherstellen, dass die zugehörigen Google-Konten gesperrt sind.
- Anmeldeprotokolle seit dem 25. Oktober 2026 auf Google-SSO-Anmeldungen deaktivierter Benutzer prüfen.
- Den Hersteller-Advisory GHSA-gq7g-hxjg-8j27 auf weitere nötige Korrekturen nach Version 8.6.3 prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-xf36-wx48-5rqp github.com
- VulnCheck advisory: Snipe-IT before 8.6.3 Authentication Bypass via Google SSO Callback www.vulncheck.com
- VulDB CVE-2026-116199 vuldb.com
- GitHub Security Advisory GHSA-gq7g-hxjg-8j27 github.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 04:02.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.