openEQUELLA: OS-Befehlsausführung über Skriptengine system.execute()
Zusammenfassung
In openEQUELLA vor 2026.1 führt die Skriptfunktion system.execute() übergebene Betriebssystembefehle ohne Prüfung oder Allowlist aus. Ein Benutzer, der Skripte erstellen oder bearbeiten kann, kann beliebige Befehle mit den Rechten des openEQUELLA-Dienstkontos ausführen, was das Lesen oder Verändern von Daten und eine weitergehende Kompromittierung des Hosts ermöglichen kann. Der CNA stuft die Lücke als kritisch ein (CVSS 4.0 9.4); eine Authentifizierung mit Skriptbearbeitungsrechten ist erforderlich.
Betroffen
- openEQUELLA-Versionen vor 2026.1 (0 bis < 2026.1)
- Standardkonfiguration ab 2026.1 ist nicht betroffen
Behoben in
- Upgrade auf openEQUELLA 2026.1 oder neuer
- Konkrete Patch-Stände oder Build-Nummern: Unbekannt.
Umgehung
- Skript-Erstellungs- und Bearbeitungsrechte (wie EDIT_COLLECTION) auf Administratoren und vertrauenswürdige Sammlungsverwalter beschränken; nicht der Gruppe Everyone oder Gastbenutzern zuweisen
- Dienstkonto von openEQUELLA mit minimalen Betriebssystemrechten betreiben
- Vom Hersteller bestätigte Workaround über diese Massnahmen hinaus: Unbekannt.
Ausnutzung
- Keine Hinweise auf Ausnutzung gefunden; nicht in der CISA KEV gelistet.
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
- Kein öffentlicher Proof of Concept indexiert; Exploit-Details vom Hersteller nicht veröffentlicht.
Unsere Empfehlung
- openEQUELLA auf 2026.1 oder neuer aktualisieren; dies behebt auch die am selben Tag veröffentlichten verwandten Advisories.
- Prüfen, welche Konten Skript-Erstellungs- und Bearbeitungsrechte besitzen, und nicht benötigte Berechtigungen entfernen.
- Prüfen, ob der openEQUELLA-Dienst aus dem Internet erreichbar ist.
- Bestehende Skripte auf unerwartete system.execute()-Aufrufe prüfen und den Server auf ungewöhnliche Kindprozesse oder ausgehende Verbindungen überwachen.
- Nach dem Upgrade nur benötigte Programme in system.execute.allowedExecutables aufnehmen; Shells und Interpreter nicht freigeben.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-q8xp-w3fr-hj4v github.com
- openEQUELLA Administrative and User Guides openequella.github.io
- VulDB CVE-2026-66088 vuldb.com
- Strix CVE-2026-66088 www.strix.ai
- OffSeq Radar CVE-2026-66088 radar.offseq.com
- ThreatINT CVE-2026-66088 cve.threatint.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 23:41.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.