HarnessRouter: Unzureichende Autorisierung in internen Routen über weitergeleitetes Bearer-Token

Zusammenfassung

Ein Console-Proxy, der nicht im Self-Hosted-Modus läuft, leitet den internen Schlüssel auch bei Anfragen mit Bearer-Token weiter, bevor das Token geprüft wird. Interne Routen akzeptierten den Schlüssel allein; dadurch kann ein entfernter Angreifer mit einem erfundenen Bearer-Token in einer Mehrmandanten-Umgebung die Provider-Verbindung einer anderen Organisation auf einen vom Angreifer kontrollierten Endpunkt umleiten. Anschliessend können spätere Prompts offengelegt und Antworten des Angreifers Aufgaben beeinflussen.

Betroffen

• HarnessRouter-Versionen vor 0.31.8
• Vor allem relevant für Mehrorganisations-Umgebungen hinter einer Console, die nicht im Self-Hosted-Modus läuft
• Gemäss Release-Notes war eine Standard-Self-Hosted-Installation nicht betroffen

Behoben in

• Behoben in 0.31.8 (Commit 28609ec65ed671112d7e5418926bbd3cb3b25c00)
• Hinweis: Es existieren spätere HarnessRouter-CVEs (CVE-2026-114362 behoben in 0.31.13, CVE-2026-114361 gemeldet bis 0.31.10); die neueste Version verwenden

Umgehung

• Keine Workaround-Massnahme vom Hersteller dokumentiert
• Übergangsmassnahme: Externen Zugriff auf die Console sowie auf /internal/- und Organisationsverwaltungs-Routen am Reverse Proxy oder an der Firewall blockieren, bis das Update eingespielt ist

Ausnutzung

• Zum Zeitpunkt der Erstellung keine Berichte über Ausnutzung in freier Wildbahn gefunden
• Kein Eintrag im CISA-KEV-Katalog und kein öffentlicher Proof of Concept gefunden
• Dies ist kein gesicherter Negativbefund; CISA KEV und die GHSA-Seite direkt prüfen

Unsere Empfehlung

• Auf die neueste HarnessRouter-Version aktualisieren, nicht nur auf 0.31.8
• Prüfen, ob eine Mehrorganisations-Umgebung hinter einer aus dem Internet erreichbaren Console betrieben wird; falls ja, hohe Priorität
• Bis zur Aktualisierung externen Zugriff auf die Console und die internen Routen blockieren
• Provider-Verbindungen und Richtlinien auf unerwartete Endpunkte prüfen
• Auf unerwartete Änderungen an Verbindungen oder Richtlinien überwachen

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Fix commit 28609ec github.com
• Fix pull request #418 github.com
• Release v0.31.8 github.com
• GitHub Security Advisory GHSA-p6cq-54cg-8mpv github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 10.11.2026 20:46.