FOG: Rechteausweitung zu root über Storage-Node-API-Bearbeitung

Zusammenfassung

FOG, eine Open-Source-Suite für Imaging und Inventarisierung, erlaubt einem authentifizierten API-Benutzer mit uType=1, über die API die Felder Benutzer, Passwort und ftppath eines Storage Nodes zu ändern, da keine Administratorrolle erzwungen wird. Ist Storage-Replikation aktiv, werden diese Werte in einen lftp-Befehl eingesetzt, der als root ausgeführt wird, sodass der Benutzer mit geringen Rechten Befehle als root auf dem FOG-Server ausführen kann. Der Angreifer benötigt gültige Zugangsdaten, das API-Token des Benutzers und das globale FOG-API-Token.

Betroffen

• FOG vor 1.5.10.2253
• FOG vor 1.6.0-RC-1

Behoben in

• 1.5.10.2253
• 1.6.0-RC-1

Umgehung

• Kein Workaround des Herstellers bekannt; das Aktualisieren ist die Lösung.
• Storage-Replikation bis zur Installation des Patches deaktivieren, falls sie nicht benötigt wird.
• Zugriff auf die FOG-Weboberfläche und die API auf das Management-Netzwerk beschränken.

Ausnutzung

• Ausnutzung in freier Wildbahn nicht bekannt.
• Zum Zeitpunkt der Recherche wurde kein öffentlich verfügbarer Exploit-Code bestätigt.
• Laut einem Aggregator nicht im CISA-KEV-Katalog aufgeführt.
• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.

Unsere Empfehlung

• FOG auf 1.5.10.2253, 1.6.0-RC-1 oder neuer aktualisieren.
• Prüfen, welche Konten API-Zugriff haben und welche Nicht-Administratoren die API erreichen können; globale und Benutzer-API-Token erneuern, falls Missbrauch vermutet wird.
• Storage-Node-Einträge auf unerwartete Änderungen bei Benutzer, Passwort oder ftppath prüfen.
• Sicherstellen, dass die FOG-Weboberfläche und die API nicht aus dem Internet erreichbar sind.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-2hqx-5ffg-w4c3 github.com
• Fix commit 3098e44 (API gate on uType) github.com
• Fix commit aeda5bc (lftp command without shell) github.com
• FOG release 1.5.10.2253 github.com
• FOG release 1.6.0-RC-1 github.com
• FOG pull request 1001 github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 09:33.