ManageIQ: Remote Code Execution über Fallback bei YAML-Deserialisierung
Zusammenfassung
Das Modul YamlLoadAliases in ManageIQ wechselt im Produktivbetrieb von YAML.safe_load zu YAML.unsafe_load, wenn ein Psych::DisallowedClass-Fehler auftritt. Ein authentifizierter Benutzer mit Berechtigung zum Import von Dialogen kann eine präparierte YAML-Datei hochladen, die beliebige Ruby-Objekte deserialisiert und so Remote Code Execution ermöglicht. Red Hat CloudForms, das auf ManageIQ basierte, ist ebenfalls als betroffen aufgeführt, hat aber das End of Life erreicht und erhält keine Patches mehr.
Betroffen
Unbekannt. ManageIQ-Installationen mit dem Modul YamlLoadAliases in der Standardkonfiguration für den Produktivbetrieb sind potenziell betroffen.
- Red Hat CloudForms (basierend auf ManageIQ) ist als betroffen aufgeführt.
Behoben in
Unbekannt. Es wurde kein korrigiertes ManageIQ-Release identifiziert.
- Red Hat CloudForms: Es wird kein Fix veröffentlicht, da das Produkt das End of Life erreicht hat.
Umgehung
- Den Rescue-Fallback für Psych::DisallowedClass in lib/extensions/yaml_load_aliases.rb entfernen oder deaktivieren (vorgängig testen).
- Den Import von Dialogen auf vertrauenswürdige Administratoren beschränken.
Ausnutzung
- Aktive Ausnutzung in freier Wildbahn: keine Hinweise gefunden.
- Nicht im CISA-KEV-Katalog aufgeführt.
- In den Quellen wurde kein öffentlicher Proof of Concept gefunden.
- EPSS: 0.00447 (niedrig).
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
Unsere Empfehlung
- Prüfen, ob ManageIQ oder CloudForms eingesetzt wird und welche Version läuft.
- Prüfen, wer Berechtigungen zum Import von Dialogen besitzt, und diese dort entziehen, wo sie nicht benötigt werden.
- Sicherstellen, dass die Management-Schnittstelle nicht aus dem Internet erreichbar ist.
- Den Code-Workaround auf upstream ManageIQ nach Test anwenden und das ManageIQ-Projekt sowie Red Hat Bugzilla auf ein korrigiertes Release überwachen.
- Für CloudForms eine Migration planen, da kein Fix veröffentlicht wird.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Red Hat CVE record CVE-2026-52903 access.redhat.com
- Red Hat Bugzilla 2486730 bugzilla.redhat.com
- OSV entry CVE-2026-52903 osv.dev
- OpenCVE CVE-2026-52903 app.opencve.io
- ManageIQ issue 24038 github.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 20:31.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.