Cronicle: Rechteausweitung durch uid/gid-Injection in der Event-API

Zusammenfassung

Cronicle, ein Task-Scheduler für mehrere Server mit Web-Oberfläche und API, erlaubt Benutzern mit den Rechten create_events und run_events (oder einem entsprechend berechtigten API-Schlüssel), die obersten Felder uid und gid in Events einzuschleusen. Da launchJob das Event in den Job kopiert und die Standard-Plugins shellplug und urlplug keine uid definieren, wird die eingeschleuste Identität beim Prozessstart verwendet. Auf einer Installation mit Root-Daemon kann ein Benutzer mit niedrigen Rechten Jobs als beliebiger Benutzer, einschliesslich root, ausführen und so die nur Administratoren vorbehaltene Option für die Ausführung als Benutzer umgehen.

Betroffen

• Cronicle-Versionen vor 0.9.121 (GHSA führt <= 0.9.120 als betroffen auf)
• Installationen mit Root-Daemon sind am stärksten betroffen

Behoben in

• Auf Cronicle 0.9.121 oder neuer aktualisieren

Umgehung

Unbekannt. Es wurde kein vom Hersteller veröffentlichter Workaround gefunden.

Ausnutzung

• Keine bestätigte Ausnutzung in den Quellen
• Ein Aggregator listet keinen öffentlichen Proof of Concept
• CISA SSVC: Exploitation none, Automatable no, Technical Impact total

Unsere Empfehlung

• Alle Cronicle-Instanzen und deren Versionen erfassen und solche mit Version 0.9.120 oder tiefer auf 0.9.121 aktualisieren
• Bis zur Aktualisierung die Rechte create_events und run_events sowie entsprechende API-Schlüssel auf vertrauenswürdige Benutzer beschränken
• Bestehende Events auf unerwartete oberste Felder uid oder gid prüfen
• Den Cronicle-Daemon nach Möglichkeit nicht als root betreiben
• Prüfen, ob Web-Oberfläche oder API aus dem Internet erreichbar sind, und den Zugriff einschränken, falls dies nicht nötig ist

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-9xpg-9w3g-mpwj github.com
• Fix commit f3d3550 github.com
• Cronicle release v0.9.121 github.com
• Strix CVE record CVE-2026-58255 www.strix.ai
• TheHackerWire CVE-2026-58255 www.thehackerwire.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 09:42.