Red Hat Satellite: Befehlsinjektion in foreman-tail

Zusammenfassung

Red Hat Satellite (basierend auf Foreman) enthält eine Schwachstelle zur Betriebssystem-Befehlsinjektion im Dienstprogramm foreman-tail. Das Dienstprogramm übergibt vom Benutzer gelieferte Argumente ungeprüft und ohne Quoting an eval, wenn Dateipfade expandiert werden. Ein lokaler Angreifer mit einem Konto mit niedrigen Berechtigungen kann Shell-Metazeichen einschleusen und beliebige Systembefehle auf dem Satellite- oder Foreman-Server ausführen, der viele Hosts verwaltet. Der CVSS-Score unterscheidet sich zwischen den Quellen: Die CVE-Daten nennen 7.8, während das Foreman-Projekt und OpenCVE 5.3 angeben.

Betroffen

• Red Hat Satellite 6.16 (RHEL 8 und RHEL 9), 6.17, 6.18 und 6.19 gemäss CVE-Eintrag (standardmässig betroffen)
• Upstream Foreman 1.5.0 bis 3.19.1 und 5.0.0 (gemäss Foreman-Sicherheitsseite)
• Orcharhino: betroffene Versionen in den Quellen nicht bestätigt

Behoben in

• Upstream Foreman 3.19.2 und 5.0.1
• Red Hat: RHSA-2026:74503, RHSA-2026:74504, RHSA-2026:74505 und RHSA-2026:74506 (genaue korrigierte Paketversionen unbekannt; die RHSA-Seiten prüfen)
• Orcharhino: Korrekturen in den Repositories für die Versionen 7.8, 7.9 und 7.10 verfügbar

Umgehung

• Red Hat hat keine praktikable Massnahme gefunden und empfiehlt, das betroffene Paket so rasch wie möglich zu aktualisieren.
• Benutzerberechtigungen auf dem Server einschränken, um die beliebige Ausführung des Dienstprogramms foreman-tail zu verhindern.

Ausnutzung

• In den geprüften Quellen nicht als aktiv ausgenutzt markiert. Der KEV-Katalog wurde nicht direkt geprüft.
• Bei den durchgeführten Recherchen wurde kein öffentlicher Proof-of-Concept gefunden; dies schliesst einen solchen nicht aus.

Unsere Empfehlung

• Prüfen, ob Satellite, Foreman oder Orcharhino im Einsatz ist und welche Version läuft.
• Die Herstellerpatches oder die Upstream-Korrektur (Foreman 3.19.2 / 5.0.1) einspielen und die Paketversionen auf den RHSA-Seiten bestätigen.
• Lokale Konten auf dem Server prüfen und nicht benötigten Shell-Zugriff entfernen.
• Den CVSS-Score in der NVD prüfen, bevor die Risikobewertung finalisiert wird.
• Admin-Oberflächen von Satellite oder Foreman nicht im Internet exponieren.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Red Hat RHSA-2026:74505 access.redhat.com
• Red Hat RHSA-2026:74506 access.redhat.com
• Red Hat CVE page CVE-2026-12542 access.redhat.com
• Red Hat Bugzilla 2489971 bugzilla.redhat.com
• Foreman security advisories theforeman.org
• Foreman 3.19 release notes docs.theforeman.org
• Orcharhino security fix blog orcharhino.com
• OpenCVE CVE-2026-12542 app.opencve.io

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 02.11.2026 06:36.