Soft Machine workspace service: Fehlende Authentifizierung ermöglicht mandantenübergreifendes Lesen von Dateien

Zusammenfassung

Der HTTP-Dienst für Workspaces auf Port 8080 jeder sm-ws-* Fly Machine in Soft Machine-Versionen 0.2.247 und älter besitzt keine Authentifizierung und keine Origin-Prüfung. Jeder Host, der diesen Port über das private Fly-Netzwerk erreichen kann, inklusive anderer Workspaces derselben Fly-App oder Organisation, kann beliebige Dateien unter /workspace lesen und ganze Projektverzeichnisse als Tar-Archive herunterladen. Laut Advisory kann ein fremder Workspace zudem Quellcode der Plattform mit einem fest codierten Datenbank-JWT enthalten, was plattformweiten Datenzugriff ermöglichen könnte.

Betroffen

• Soft Machine-Versionen 0.2.247 und älter
• Endpunkte /health, /file/<path> und /archive/<dir> auf TCP/8080 der sm-ws-* Workspace-Maschinen

Behoben in

Unbekannt.

Umgehung

• Datenverkehr zwischen Workspaces auf TCP/8080 wo möglich einschränken (Empfehlung Dritter, nicht vom Hersteller bestätigt)
• Beim Hersteller nachfragen, ob der Workspace-Port zwischen Maschinen in derselben Fly-App oder Organisation per Firewall abgeschottet werden kann

Ausnutzung

• Der Angriff erfordert Netzwerkzugriff auf TCP/8080 eines Workspaces über das private Fly-Netzwerk, nicht über das öffentliche Internet
• Es sind keine Berechtigungen und keine Benutzerinteraktion nötig
• CISA SSVC führt die Ausnutzung als PoC und die Automatisierbarkeit als nein; laut den Recherchenotizen ist kein öffentlicher Exploit bestätigt
• Zum Zeitpunkt der Recherche nicht im CISA-KEV-Katalog

Unsere Empfehlung

• Prüfen, ob Soft Machine eingesetzt wird und welche Version läuft
• Beim Hersteller die korrigierte Version und den Status des verwandten CVE-2026-55176 erfragen
• Prüfen, ob Workspaces einer Fly-Organisation mit nicht vertrauenswürdigen Parteien geteilt werden, und den Verkehr zwischen ihnen einschränken
• Datenbank-Zugangsdaten oder JWTs rotieren, die eventuell in Workspace-Dateien abgelegt waren
• Anfragen an Port 8080 der Workspaces überwachen

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Advisory GHSA-h6g6-qr45-qmrr github.com
• OpenCVE CVE-2026-46711 app.opencve.io
• HOL CVE-2026-46711 hol.org
• CodeAnt CVE-2026-46711 codeant.ai
• TheHackerWire CVE-2026-46711 www.thehackerwire.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 14:25.