EISGE Kalifast: OS-Command-Injection in Git-Remote-Konfiguration
Zusammenfassung
Der Parameter ei_git_repo_url im Endpunkt für die Git-Remote-Konfiguration von Kalifast (auch als KaliFast geschrieben) validiert Benutzereingaben nicht, bevor sie an das Betriebssystem übergeben werden. Ein authentifizierter Angreifer kann dadurch beliebige Befehle auf dem Server mit den Rechten von www-data ausführen. Die Registrierung ist laut Beschreibung kostenlos, daher ist eine aus dem Internet erreichbare Instanz mit offener Registrierung für jeden zugänglich, der die Anmeldeseite erreichen kann.
Betroffen
- Kalifast vor 2026.02.1 (CNA-Daten, VulDB: bis 2026.02.0)
- Genauer betroffener Bereich mit dem Hersteller zu bestätigen, siehe fixe Version
Behoben in
- Upgrade auf 2026061802 (gemäss CVE-Beschreibung)
- Widerspruch: CNA-Daten und VulDB nennen 2026.02.1 als erste nicht betroffene Version. Die fixe Version bei EISGE oder Orange Cyberdefense bestätigen lassen.
Umgehung
- Dem Hersteller ist keine veröffentlichte Workaround-Massnahme bekannt.
- Zugriff auf die Git-Konfigurationsseiten bis zum Upgrade auf vertrauenswürdige Netzwerke oder VPN beschränken.
- Selbstregistrierung deaktivieren oder einschränken.
- Konten und Zugangsdaten der Anwendung erneuern.
- Logs und Git-Remote-Einstellungen auf unerwartete Werte prüfen.
Ausnutzung
- Keine bestätigte Ausnutzung bekannt.
- CISA KEV: Nein.
- Ein Aggregator meldet keinen bestätigten öffentlichen Exploit-Code.
- Eine separate KaliFast-CVE (CVE-2025-18427) in derselben Funktion wird als aktiv ausgenutzt gemeldet, nicht verifiziert.
Unsere Empfehlung
- Alle Kalifast-Instanzen identifizieren und prüfen, ob sie aus dem Internet erreichbar sind.
- Die genaue fixe Version bei EISGE oder Orange Cyberdefense bestätigen, bevor Patch-Entscheidungen getroffen werden.
- Aus dem Internet erreichbare Instanzen zuerst aktualisieren.
- Offene Registrierung einschränken oder deaktivieren und die oben genannten Übergangsmassnahmen umsetzen.
- Logs auf ungewöhnliche Befehle oder Änderungen der Git-Konfiguration überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Orange Cyberdefense Security Advisory 166 advisories.orangecyberdefense.com
- VulDB 427837 vuldb.com
- CVE record (CVEProject cvelistV5) raw.githubusercontent.com
- CVE-2026-118477 mirror (threatint) cve.threatint.com
- CVE-2026-118477 Strix www.strix.ai
- CVE-2026-118477 TheHackerWire www.thehackerwire.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 23:47.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.