Red Hat Satellite (Foreman): OS-Command-Injection in Datenbank-Rake-Tasks

Zusammenfassung

Foreman, die Grundlage von Red Hat Satellite, enthält OS-Command-Injection-Schwachstellen in den foreman-rake-Tasks db:dump und db:import_dump. Benutzereingaben in den Parametern destination und file werden ungefiltert an einen Ruby-system()-Aufruf übergeben. Ein Angreifer, der foreman-rake ausführen darf, etwa über eine eingeschränkte sudo-Regel, kann Shell-Befehle anhängen und diese mit hohen Rechten ausführen lassen. Dies kann erhebliche Auswirkungen auf den Host und seine Datenbank haben. Für die Ausnutzung sind lokaler Zugriff und hohe Berechtigungen erforderlich.

Betroffen

• Red Hat Satellite 6.16 für RHEL 8 und RHEL 9
• Red Hat Satellite 6.17 für RHEL 9
• Red Hat Satellite 6.18 für RHEL 9
• Red Hat Satellite 6.19 für RHEL 9
• Upstream Foreman 1.5.0 bis 3.19.1 sowie 5.0.0
• Satellite 6.15 und älter: Unbekannt

Behoben in

• Foreman 3.19.2 und 5.0.1 (upstream)
• Satellite 6.19: RHSA-2026:74503 (6.19.5 Async Update)
• Satellite 6.18: RHSA-2026:74504 (6.18.10 Async Update)
• Satellite 6.16: RHSA-2026:74506 (6.16.14 Async Update)
• Satellite 6.17: Unbekannt, Paketliste des RHSA prüfen

Umgehung

Unbekannt. Red Hat hat keine praktikable Massnahme identifiziert und empfiehlt das Einspielen des Updates.

• Übergangsmassnahme (keine Herstellervorgabe): sudo-Regeln für foreman-rake prüfen und einschränken sowie festlegen, wer Datenbank-Backup- und Importaufgaben ausführen darf.

Ausnutzung

• Gemäss Angaben nicht in freier Wildbahn ausgenutzt (CISA KEV: nein).
• CISA SSVC: Ausnutzung keine, nicht automatisierbar, totale technische Auswirkung.
• Kein öffentlicher Proof of Concept gefunden.

Unsere Empfehlung

• Alle Foreman- und Satellite-Instanzen inklusive Capsules und deren Versionen erfassen.
• Auf die korrigierte Foreman-Version oder den passenden Red-Hat-Erratum aktualisieren und die Zuordnung anhand der Paketliste des RHSA prüfen.
• sudo-Regeln und Konten, die foreman-rake ausführen können, überprüfen und nicht benötigte Berechtigungen entfernen.
• KEV und Herstellerupdates auf Änderungen des Ausnutzungsstatus überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Red Hat Security Advisory RHSA-2026:74503 (Satellite 6.19) access.redhat.com
• Red Hat Security Advisory RHSA-2026:74504 (Satellite 6.18) access.redhat.com
• Red Hat Security Advisory RHSA-2026:74506 (Satellite 6.16) access.redhat.com
• Red Hat CVE record CVE-2026-12541 access.redhat.com
• Red Hat Bugzilla 2489970 bugzilla.redhat.com
• Foreman security advisories theforeman.org
• Foreman 5.0.1 release announcement community.theforeman.org
• oss-security announcement www.openwall.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 17:37.