FileRise: Authentifizierungsumgehung über gefälschten Reverse-Proxy-Identitätsheader
Zusammenfassung
FileRise-Versionen vor 3.16.0 mit aktiviertem AUTH_BYPASS (Anmeldung über Proxy-Header) vertrauen dem konfigurierten Identitätsheader des Reverse Proxys, ohne zu prüfen, ob die Anfrage von einem in FR_TRUSTED_PROXIES aufgeführten vertrauenswürdigen Proxy stammt. Ist der Backend-Anwendungsport direkt erreichbar, kann ein nicht authentifizierter Angreifer mit einem gefälschten X-Remote-User-Header eine Sitzung für das angegebene Konto erhalten, einschliesslich eines Administratorkontos, ohne Passwort oder MFA. Die Schwachstelle betrifft nur Installationen, die die Anmeldung über Proxy-Header aktivieren und einen nicht vertrauenswürdigen Zugriffspfad auf das Backend offenlegen.
Betroffen
- error311 FileRise, alle Versionen vor 3.16.0
- Nur Installationen mit aktiviertem AUTH_BYPASS (Anmeldung über Proxy-Header) und direkt erreichbarem Backend-Port
Behoben in
- Behoben in FileRise 3.16.0
- Es existieren spätere Versionen; die neueste Version wird empfohlen
Umgehung
- Wird die Anmeldung über Proxy-Header genutzt, FR_TRUSTED_PROXIES vor dem Upgrade auf die IP-Adresse oder den CIDR-Bereich des Reverse Proxys setzen; andernfalls wird der Identitätsheader ignoriert und Benutzende werden nicht automatisch angemeldet
- Direkten Zugriff auf den Backend-Port von FileRise von allen Quellen ausser dem Reverse Proxy blockieren
Ausnutzung
- CISA SSVC: Ausnutzungsstatus 'poc', automatisierbar: nein, technische Auswirkung: total
- Nicht im CISA-KEV-Katalog; in den geprüften Quellen kein öffentlicher Proof of Concept gefunden
- Keine bekannte Ausnutzung in freier Wildbahn
Unsere Empfehlung
- Alle FileRise-Installationen und deren Versionen erfassen
- Installationen unter 3.16.0 auf die neueste Version aktualisieren; FR_TRUSTED_PROXIES zuerst setzen, falls die Anmeldung über Proxy-Header genutzt wird
- Sicherstellen, dass der Backend-Port nicht aus nicht vertrauenswürdigen Netzen erreichbar ist und nur der Reverse Proxy darauf zugreifen kann
- Administratorkonten und aktive Sitzungen auf exponierten Installationen auf unerwartete Aktivitäten prüfen
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-98pg-w3jp-r8fv github.com
- Fix commit f7114ca github.com
- FileRise Release v3.16.0 github.com
- OSV record CVE-2026-57489 osv.dev
- OpenCVE CVE-2026-57489 app.opencve.io
- FileRise changelog filerise.net
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 19:01.
Referenzen der NVD (4)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.