Red Hat Satellite: Command Injection in Job-Aufrufen über effective_user

Zusammenfassung

Die Komponente rubygem-foreman_remote_execution von Red Hat Satellite enthält eine Command-Injection-Schwachstelle in der API /api/v2/job_invocations. Ist bei einer Job-Vorlage die Eigenschaft effective_user als überschreibbar markiert, wird der in einer API-Anfrage übermittelte Wert effective_user nicht korrekt bereinigt. Ein authentifizierter Benutzer, der Job-Vorlagen ausführen darf, kann beliebige Shell-Befehle mit den Rechten des Ausführungsbenutzers auf den Zielsystemen ausführen.

Betroffen

• Red Hat Satellite 6.16 für RHEL 8 und RHEL 9 (vor 0:13.2.8-2.el8sat bzw. 0:13.2.8-2.el9sat)
• Red Hat Satellite 6.17 für RHEL 9 (vor 0:15.0.2-2.el9sat)
• Red Hat Satellite 6.18 für RHEL 9 (vor 0:16.2.3-2.el9sat)
• Red Hat Satellite 6.19 für RHEL 9 (vor 0:16.5.3-2.el9sat)
• Upstream Foreman Remote Execution 0.1.2 bis 16.6.5, 16.7.0, 17.0.0 bis 17.2.1 und 18.0.0
• Ältere Satellite-Versionen: Unbekannt.

Behoben in

• Satellite 6.19.5 Async Update (RHSA-2026:74503)
• Satellite 6.18.10 Async Update (RHSA-2026:74504)
• Satellite 6.17.12 (RHSA-2026:74505)
• Satellite 6.16.14 (RHSA-2026:74506)
• Upstream: Foreman Remote Execution 18.0.1, 17.2.2 und 16.6.6

Umgehung

• Red Hat hat keine praktikable Massnahme identifiziert. Das Patchen ist die Behebung.
• Job-Vorlagen-Ausführungsrechte auf vertrauenswürdige Benutzer beschränken.
• Job-Vorlagen prüfen, bei denen effective_user überschreibbar ist.

Ausnutzung

• Aktiv ausgenutzt: kein Hinweis zum Zeitpunkt der Analyse.
• Öffentlicher Proof-of-Concept-Exploit: keiner gefunden.
• CISA SSVC: Ausnutzung none, automatisierbar nein, technische Auswirkung total.
• Red Hat stuft die Schwachstelle als Important ein; einige Spiegel bezeichnen den Errata als kritisch.

Unsere Empfehlung

• Satellite in einem Wartungsfenster auf die für Ihre Version behobene Fassung aktualisieren.
• RHSA-2026:74506 enthält zusätzlich eine Behebung für Provisioning-Token (CVE-2026-12423); Bootdisk und Token-Einstellungen entsprechend planen.
• Prüfen, wer Job-Ausführungsrechte besitzt, und Job-Vorlagen mit überschreibbarem effective_user kontrollieren.
• Job-Invocation-Logs auf ungewöhnliche effective_user-Werte prüfen.
• Sicherstellen, dass Satellite nicht aus dem Internet erreichbar ist.
• Priorität: mittel, falls Satellite oder Foreman eingesetzt wird, sonst niedrig.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Red Hat CVE page CVE-2026-12405 access.redhat.com
• RHSA-2026:74503 Satellite 6.19.5 Async Update access.redhat.com
• RHSA-2026:74504 Satellite 6.18.10 Async Update access.redhat.com
• RHSA-2026:74505 Satellite 6.17.12 access.redhat.com
• RHSA-2026:74506 Satellite 6.16.14 access.redhat.com
• Red Hat Bugzilla 2488952 bugzilla.redhat.com
• Foreman security advisory theforeman.org
• Foreman community security update CVE-2026-12405 community.theforeman.org

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 22:57.