Pulpcore: Expression-Language-Injection im Header Content Guard

Zusammenfassung

Der Header Content Guard in Pulpcore speichert einen jq-Filter, der gegen einen Request-Header ausgeführt wird. Der Filter kann die jq-Funktion env aufrufen, die die Umgebung des Content-Prozesses offenlegt. Ein Benutzer mit niedrigen Rechten, der einen Header Content Guard erstellen und einer Distribution zuweisen darf, kann diese Umgebung durch wiederholte Content-Requests auslesen. Dabei könnten dort gespeicherte Geheimnisse wie der Django Secret Key oder das Datenbankpasswort offengelegt werden.

Betroffen

• Pulpcore ab 3.39.0, der Version, die den Header Content Guard eingeführt hat (laut Red Hat). Der genaue betroffene Bereich ist unbekannt.
• Red Hat Ansible Automation Platform 2.6 und 2.7: betroffen, eingestuft als niedrig (CVSS 4.3 für diese Versionen).
• Red Hat Satellite 6 und Red Hat Update Infrastructure 5: laut Red Hat nicht betroffen.
• Andere Red Hat Produktversionen: Status nicht bestätigt, siehe die Red Hat CVE-Seite.

Behoben in

Unbekannt. In den geprüften Quellen ist keine korrigierte Paketversion bestätigt.

Umgehung

Red Hat kennt keinen praktikablen temporären Workaround, der das Problem vollständig behebt.

Ausnutzung

In den geprüften Quellen wurde kein öffentlicher Exploit-Code und kein Hinweis auf eine aktive Ausnutzung gefunden. Für die Ausnutzung ist ein Konto nötig, das Content Guards erstellen und zuweisen darf.

Unsere Empfehlung

• Beschränken Sie, wer Content Guards erstellen oder ändern und einer Distribution zuweisen darf.
• Prüfen Sie bestehende Header Content Guards und kontrollieren Sie jq-Filter, die nicht begründbar sind.
• Bei Verdacht auf Missbrauch rotieren Sie den Django Secret Key und die Datenbank-Zugangsdaten und prüfen Sie die Zugriffsprotokolle.
• Spielen Sie die Red Hat Errata ein, sobald für Ihr Produkt eine korrigierte Version aufgeführt wird.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Red Hat CVE record CVE-2026-123084 access.redhat.com
• CVE Program record CVE-2026-123084 www.cve.org
• Red Hat Bugzilla 2567260 bugzilla.redhat.com
• Pulpcore changelog docs.pulpproject.org
• Pulp documentation: protect content guides pulpproject.org

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 11:53.