Octopus Server: Unzureichende Prüfung des OIDC-Token-Ausstellers
Zusammenfassung
In betroffenen Versionen von Octopus Server wird die Prüfung des OIDC-Token-Ausstellers uneinheitlich durchgeführt. Ein Token eines passend konfigurierten, nicht legitimen Ausstellers kann als Token eines Dienstkontos akzeptiert werden, das zu einem legitimen, vertrauenswürdigen Aussteller gehört. Die Ausnutzung setzt ein Dienstkonto mit mindestens einer konfigurierten OIDC-Identität voraus, und der Angreifer muss Details dieser Identität kennen oder erraten. Der Hersteller stuft die Schwachstelle als hoch ein (CVSS 4.0: 8.7) und nennt keine bekannte Gegenmassnahme.
Betroffen
- Gemäss Herstellerhinweis SA2026-15: alle 2024.x-Versionen nach 2024.1.11865, alle 2025.x-Versionen, alle 2026.1-Versionen vor 2026.1.11781, alle 2026.2-Versionen vor 2026.2.13438, alle 2026.3-Versionen vor 2026.3.15816.
- Gemäss CNA-Eintrag: 2024.1.0 bis < 2026.1.11781; 2026.2.0 bis < 2026.2.13438; 2026.3.0 bis < 2026.3.15816.
- Octopus-Cloud-Instanzen sind bereits gepatcht.
Behoben in
- 2026.1.11781 oder neuer (Zweig 2026.1)
- 2026.2.13438 oder neuer (Zweig 2026.2)
- 2026.3.15816 oder neuer (Zweig 2026.3)
- Der Hersteller empfiehlt die neueste Version 2026.3.15973.
Umgehung
- Laut Hersteller ist keine Gegenmassnahme bekannt. Das Aktualisieren ist die einzige Abhilfe.
Ausnutzung
- Dem Hersteller sind keine öffentlichen Ankündigungen oder böswillige Nutzung bekannt.
- Die Schwachstelle wurde bei internen Tests von Nathan Willoughby bei Octopus Deploy gefunden.
- Zum Zeitpunkt der Recherche wurde kein öffentlicher Proof of Concept identifiziert.
Unsere Empfehlung
- Alle Octopus-Server-Instanzen inventarisieren und die installierte Version mit den korrigierten Versionen vergleichen.
- So rasch wie möglich auf 2026.3.15973 oder mindestens auf die korrigierte Version des eigenen Zweigs aktualisieren.
- Dienstkonten mit konfigurierten OIDC-Identitäten prüfen und nicht benötigte entfernen.
- Den Zugriff auf das Webportal und die API von Octopus Server nach Möglichkeit einschränken.
- Authentifizierungsprotokolle auf unerwartete Anmeldungen von Dienstkonten überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Octopus Deploy Security Advisory 2026-15 advisories.octopus.com
- OffSeq Radar: CVE-2026-116870 radar.offseq.com
- Strix: CVE-2026-116870 www.strix.ai
- VulDB entry 427120 vuldb.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 00:01.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.