GRR: Remote Code Execution über PHP-Code-Injection im LDAP-Connector
Zusammenfassung
GRR, eine Anwendung zur Verwaltung und Reservation von Ressourcen, weist in der Konfiguration des LDAP-Connectors eine Code-Injection-Schwachstelle auf. Ein Administrator kann manipulierte Werte, etwa den Parameter ldap_filter, übermitteln, die in die PHP-Datei /personnalisation/config_ldap.inc.php geschrieben werden. Eine erfolgreiche Ausnutzung erlaubt die Remote Code Execution auf dem Server. Der Angreifer benötigt Administratorrechte, und der Administrator muss zuvor eine Verbindung zu einem vom Angreifer kontrollierten LDAP-Server herstellen, bevor er die schädliche Eingabe übermittelt.
Betroffen
- GRR 4.4.2 und früher (GitHub-Advisory)
- Der CVE-Eintrag führt Versionen vor 4.5.0 als betroffen auf; VulDB beschreibt den Bereich als bis 4.4.x.
Behoben in
- Auf GRR 4.5.0 oder neuer aktualisieren.
Umgehung
- Keine Workaround-Massnahme des Herstellers dokumentiert.
- Administratorrechte auf die Personen beschränken, die sie benötigen.
- Zugriff auf den Administrationsbereich auf vertrauenswürdige interne Netze oder VPN beschränken.
- /personnalisation/config_ldap.inc.php auf unerwarteten PHP-Code oder kürzliche Änderungen prüfen.
Ausnutzung
- Zum Zeitpunkt der Recherche nicht im CISA KEV aufgeführt.
- Keine öffentlichen Proof-of-Concept oder Ausnutzungsberichte gefunden.
- Ausnutzung in freier Wildbahn: unbekannt.
Unsere Empfehlung
- Alle GRR-Installationen inventarisieren und deren Versionen prüfen.
- Vorrangig auf GRR 4.5.0 oder neuer aktualisieren.
- Anzahl der Administratorkonten begrenzen und wo möglich MFA erzwingen.
- Die LDAP-Konfigurationsdatei auf unerwarteten PHP-Inhalt prüfen und auf Änderungen überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-fp4f-xmw6-5jf8 github.com
- Fix commit 3ff9504 (Sécurisation LDAP) github.com
- GRR release v4.5.0 github.com
- VulDB entry 427589 vuldb.com
- OffSeq threat radar entry CVE-2026-58256 radar.offseq.com
- Strix CVE entry CVE-2026-58256 www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 05:17.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.