AKIN Software OctoCloud: Autorisierungsumgehung über benutzerkontrollierten Schlüssel
Zusammenfassung
OctoCloud-Versionen ab 1.12.06 bis vor 1.12.07 enthalten eine Autorisierungsumgehung (CWE-639, unsichere direkte Objektreferenz). Ein authentifizierter Benutzer mit einem Konto mit niedrigen Rechten kann auf Funktionen und Daten zugreifen, die durch Zugriffskontrolllisten eingeschränkt sein sollten, was hohe Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit haben kann. Der CVSS-Basiswert beträgt laut CNA/NVD 8.8, während VulDB ihn als mittel mit 6.3 bewertet; der Angriff erfordert einen gültigen Login, aber keine Benutzerinteraktion.
Betroffen
- AKIN Software OctoCloud ab 1.12.06 bis vor 1.12.07
- Einige Quellen führen nur 1.12.06 als verwundbar auf; der Herstellerbereich sollte überprüft werden.
Behoben in
- Auf OctoCloud 1.12.07 oder neuer aktualisieren.
- Das genaue Build- bzw. Paket für die Korrektur und die Verfügbarkeit für alle unterstützten Zweige sind unbekannt.
Umgehung
- Kein Workaround des Herstellers veröffentlicht.
- Falls das Patchen verzögert wird, den Zugriff auf die Anwendung einschränken und prüfen, welche Konten sich anmelden können (allgemeine Praxis, keine Herstellervorgabe).
Ausnutzung
- Nicht bekannt, dass die Schwachstelle aktiv ausgenutzt wird; nicht im CISA-KEV-Katalog.
- VulDB führt keinen Exploit als verfügbar und beschreibt die Ausnutzung als einfach.
- Kein öffentlicher Proof of Concept gefunden; dies schliesst einen solchen nicht aus.
- CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
Unsere Empfehlung
- Alle OctoCloud-Installationen und deren Versionen identifizieren.
- Installationen unter 1.12.07 nach Test aktualisieren.
- Installationen mit Internetzugang oder vielen Benutzerkonten priorisieren.
- Benutzerkonten überprüfen und auf ungewöhnliche Zugriffe auf eingeschränkte Funktionen achten.
- Die Advisory TR-26-1272 und die Patch-Notes des Herstellers prüfen, da die Herstellermeldung nicht bestätigt werden konnte.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- TR-CERT advisory TR-26-1272 siberguvenlik.gov.tr
- VulDB 415326 vuldb.com
- Rapid7 record via Vulners vulners.com
- Strix CVE-2026-19083 www.strix.ai
- HOL Guard CVE-2026-19083 hol.org
- THREATINT CVE-2026-19083 cve.threatint.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 21:13.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.