Red Hat Satellite: Command Injection in foreman-rake errors:fetch_log

Zusammenfassung

Red Hat Satellite, das auf dem Upstream-Projekt Foreman aufbaut, enthält eine Command Injection in der Task foreman-rake errors:fetch_log. Der Parameter request_id wird ohne ausreichende Neutralisierung an einen Shell-Befehl übergeben. Ein lokaler Benutzer mit Sudo-Berechtigung für diese Rake-Task kann Shell-Metazeichen einschleusen und beliebigen Code ausführen, unter Umständen mit Eskalation zu root auf verwalteten Hosts (CVSS 3.1: 8.2).

Betroffen

• Red Hat Satellite 6.16 für RHEL 8 und RHEL 9 (vor den korrigierten Builds in RHSA-2026:74506)
• Red Hat Satellite 6.17 für RHEL 9 (vor den korrigierten Builds in RHSA-2026:74505)
• Red Hat Satellite 6.18 für RHEL 9 (vor den korrigierten Builds in RHSA-2026:74504)
• Red Hat Satellite 6.19 für RHEL 9 (vor den korrigierten Builds in RHSA-2026:74503)
• Upstream Foreman 2.2.0 bis 3.19.1 sowie 5.0.0 (gemäss Herstellerhinweis)

Behoben in

• Red Hat Satellite: Async Updates RHSA-2026:74503 (6.19.5), RHSA-2026:74504 (6.18.10), RHSA-2026:74505 (6.17.12) und RHSA-2026:74506 (6.16.14). Die genauen Paket-Builds sind in den Advisories aufgeführt.
• Upstream Foreman: 3.19.2 und 5.0.1
• Ob ältere Upstream-Zweige Backports erhalten haben, ist unbekannt.

Umgehung

Red Hat hat mögliche Gegenmassnahmen geprüft und keine praktikable identifiziert. Das Einspielen des Patches ist die empfohlene Behebung.

• Bis zum Patchen sollten Sudoers-Einträge, die Zugriff auf foreman-rake gewähren, geprüft und alle nicht zwingend nötigen entfernt werden. Dies ist eine Empfehlung des Autors und keine Aussage des Herstellers.

Ausnutzung

• Der Angriff erfordert lokalen Zugriff und Sudo-Berechtigung für die Rake-Task (PR:H, AV:L).
• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
• Kein öffentlicher Proof of Concept gefunden. Zum Zeitpunkt der Erstellung nicht als aktiv ausgenutzt (KEV) gelistet.

Unsere Empfehlung

• Das Satellite Async Update für Ihre Version (RHSA-2026:74503 bis RHSA-2026:74506) oder Foreman 3.19.2 / 5.0.1 im regulären Wartungsfenster einspielen.
• Prüfen, welche Benutzer und Konten Sudo-Rechte für foreman-rake besitzen, und diese jetzt auf das notwendige Minimum reduzieren.
• Gemeinsam genutzte Admin-, Helpdesk- und Automatisierungskonten mit breiten Sudo-Rechten als Hauptrisiko behandeln.
• Prüfen, ob Ihre Organisation tatsächlich Satellite oder Upstream-Foreman betreibt.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Red Hat Security Advisory RHSA-2026:74503 (Satellite 6.19.5 Async Update) access.redhat.com
• Red Hat Security Advisory RHSA-2026:74504 (Satellite 6.18.10 Async Update) access.redhat.com
• Red Hat Security Advisory RHSA-2026:74505 (Satellite 6.17.12 Async Update) access.redhat.com
• Red Hat Security Advisory RHSA-2026:74506 (Satellite 6.16.14 Async Update) access.redhat.com
• Red Hat CVE record CVE-2026-12540 access.redhat.com
• Red Hat Bugzilla 2489969 bugzilla.redhat.com
• Foreman security advisories theforeman.org
• oss-security mailing list posting (2026-10-07) www.openwall.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 17:36.