Tugtainer Agent: Fehlende Authentifizierung für Docker-Management-API
Zusammenfassung
Tugtainer Agent, eine Komponente des selbst gehosteten Tools zur Docker-Aktualisierung Tugtainer, nimmt ohne Authentifizierung Anfragen an seine Docker-Management-APIs entgegen, wenn AGENT_SECRET nicht konfiguriert ist. Die Signaturprüfung wird bei einem leeren Secret erfolgreich abgeschlossen, daher sind geschützte Agent-Routen für jeden erreichbar, der den Agent-Port erreichen kann. Da der Agent Docker steuert, kann ein Angreifer wahrscheinlich die volle Kontrolle über den Host erlangen. Ein öffentlicher Proof-of-Concept existiert, und der CVSS-Wert beträgt 9.8.
Betroffen
- Tugtainer-Versionen vor 1.30.4
- Tugtainer-Agent-Instanzen, bei denen AGENT_SECRET nicht gesetzt ist
Behoben in
- Version 1.30.4 (AGENT_SECRET ist nun zwingend erforderlich)
Umgehung
- Ein starkes, eindeutiges AGENT_SECRET auf dem Agent und dem Hub setzen und in der Benutzeroberfläche unter Hosts > Bearbeiten > Agent Secret hinterlegen
- Den Agent-Port nicht aus dem Internet oder aus nicht vertrauenswürdigen Netzen erreichbar machen
- AGENT_ALLOW_NETWORKS und AGENT_ALLOW_ENDPOINTS auf dem Hub als zusätzliche Einschränkung verwenden (kein Ersatz für das Update)
Ausnutzung
- Öffentlicher Proof-of-Concept: ja (ein öffentliches GitHub-Repository; nicht verifiziert)
- Bekanntermassen in freier Wildbahn ausgenutzt: keine Hinweise gefunden, nicht im CISA-KEV-Katalog
- CISA SSVC: Exploitation poc, automatisierbar ja, technische Auswirkung total
Unsere Empfehlung
- Alle Tugtainer- und Tugtainer-Agent-Instanzen auf 1.30.4 oder neuer aktualisieren; Agent-Container manuell mit Compose aktualisieren
- Prüfen, dass AGENT_SECRET auf jedem Agent gesetzt ist und Agent-Ports nicht aus dem Internet oder aus nicht vertrauenswürdigen Netzen erreichbar sind
- Docker-Host-Logs auf unerwartete API-Aufrufe und unbekannte Container prüfen
- Alle Instanzen inventarisieren, inklusive Installationen über App-Stores oder Appliances
Öffentliche Exploits
Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.
- Proof of Concept auf GitHub (1 Repositories)
4qu4r1um/tugtainer-1.30.2-CVE-2026-55494-and-CVE-2026-62308-to-RCE
Quellen der Recherche
- Fix commit 0052a55 github.com
- Release v1.30.4 github.com
- GitHub Security Advisory GHSA-wgw2-c96g-p7h7 github.com
- OSV entry CVE-2026-55494 osv.dev
- Tugtainer project README github.com
- TheHackerWire vulnerability page www.thehackerwire.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 21:47.
Referenzen der NVD (4)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.