Tugtainer: Authentifizierte Server-Side Request Forgery im Test-Endpunkt für Benachrichtigungen
Zusammenfassung
Tugtainer-Versionen vor 1.30.6 enthalten eine Server-Side Request Forgery (SSRF) im Test-Endpunkt für Benachrichtigungen /settings/test_notification. Ein authentifizierter Benutzer kann den Server veranlassen, Anfragen an beliebige URLs zu senden, einschliesslich interner Hosts, localhost und Cloud-Metadaten-Adressen, da das Feld urls ohne Einschränkungen an Apprise übergeben wird. Der Angriff ist blind, der Angreifer sieht die Antworten also nicht direkt. Für die Ausnutzung ist ein gültiges Login erforderlich.
Betroffen
- Tugtainer-Versionen vor 1.30.6 (< 1.30.6)
Behoben in
- Version 1.30.6 (Korrektur des Herstellers, veröffentlicht am 26. Juni 2026)
- Nach Möglichkeit auf die aktuelle stabile Version aktualisieren
Umgehung
- Kein Workaround des Herstellers veröffentlicht.
- Einschränken, welche Konten sich bei Tugtainer anmelden können.
- Web-Oberfläche nicht aus dem Internet erreichbar machen und nur über VPN oder SSO zugänglich halten.
- Ausgehende Verbindungen des Containers in interne Netze und zu 169.254.169.254 auf Host- oder Netzwerkebene blockieren.
- Test von Benachrichtigungen deaktivieren, falls diese nicht genutzt werden.
Ausnutzung
- CISA KEV: nicht gelistet.
- Einige Drittquellen melden einen öffentlichen Proof of Concept, die Quellen widersprechen sich jedoch und diese Meldungen wurden nicht verifiziert.
- Einige Quellen melden eine Verkettung mit CVE-2026-55494 (unauthentifizierter Zugriff auf die Agent-API), die in Version 1.30.2 zur Remote Code Execution führt. Dies ist nicht verifiziert.
- In den Quellen wurde keine bestätigte Ausnutzung in freier Wildbahn gefunden.
Unsere Empfehlung
- Tugtainer umgehend auf Version 1.30.6 oder neuer aktualisieren.
- CVE-2026-55494 ebenfalls prüfen und ebenfalls patchen.
- Login-Konten auf vertrauenswürdige Administratoren beschränken und bestehende Konten prüfen.
- Die Web-Oberfläche nicht im Internet exponieren.
- Prüfen, ob der Container Zugriff auf den Docker-Socket hat und welche internen Dienste er erreichen kann.
- Ausgehende Verbindungen des Tugtainer-Containers auf unerwartete Ziele überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Fix commit c0294d0 (GitHub) github.com
- Release v1.30.6 (GitHub) github.com
- Security advisory GHSA-c2h5-ppv9-7vrq (GitHub) github.com
- OSV: CVE-2026-62308 osv.dev
- OpenCVE: CVE-2026-62308 app.opencve.io
- Strix: CVE-2026-62308 www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 07:54.
Referenzen der NVD (4)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.