Soft Machine: Mandantenübergreifende Authentifizierungsumgehung der Workspace-API

Zusammenfassung

Soft Machine-Versionen bis und mit 0.2.247 akzeptieren ein globales CONTAINER_SHARED_SECRET als Bearer-Token für Workspace-APIs, ohne zu prüfen, zu welchem Workspace der Aufrufer gehört. Das Geheimnis ist in jedem Workspace-Container vorhanden und für Code der Mandanten erreichbar, daher können authentifizierte Benutzer eines Workspaces die Workspaces anderer Mandanten lesen, beschreiben, sichern und wiederherstellen. Für die Ausnutzung sind ein gültiges Workspace-Konto und Netzwerknähe zu anderen Workspaces erforderlich.

Betroffen

• Soft Machine-Versionen bis und mit 0.2.247
• Workspace-APIs /backup, /restore, /bind, /file, /archive, /upload-file und /upload-archive

Behoben in

Unbekannt. Zum Zeitpunkt der Veröffentlichung war kein Patch öffentlich bekannt.

Umgehung

Unbekannt. In den geprüften Quellen ist kein Workaround des Herstellers dokumentiert.

Ausnutzung

• CISA SSVC: Ausnutzungsstatus 'poc', automatisierbar 'no', technische Auswirkung 'total'
• Nicht in der CISA-KEV-Liste aufgeführt
• Die Verfügbarkeit eines öffentlichen Proof-of-Concept ist zwischen den Quellen umstritten
• Keine bekannte Ausnutzung in freier Wildbahn

Unsere Empfehlung

• Bei Nutzung des gehosteten Dienstes beim Hersteller schriftlich den Patch-Status, einen Zeitplan für die Behebung und die Rotation des Shared Secrets erfragen
• Bei Selbstbetrieb CONTAINER_SHARED_SECRET rotieren und einschränken, wer Workspaces erstellen oder erreichen kann
• Workspace-Protokolle auf unerwartete workspaceübergreifende Anfragen prüfen
• Bis zur bestätigten Behebung keine Zugangsdaten oder Geheimnisse in Workspaces speichern
• Prüfen, ob CVE-2026-46711 ebenfalls Ihre Umgebung betrifft

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-63gh-vp9f-vxhj github.com
• OpenCVE CVE-2026-55176 app.opencve.io
• Strix CVE-2026-55176 www.strix.ai
• CISA Vulnrichment CVE-2026-55176 vulners.com
• The Hacker Wire CVE-2026-55176 www.thehackerwire.com
• Soft Machine download page soft-machine.io
• Strix CVE-2026-46711 www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 08:22.