HCL iControl: Fehlende Zugriffskontrolle erlaubt Rechteerweiterung und Datenänderung
Zusammenfassung
HCL iControl, ein Produkt für operative Intelligenz und KPI-Überwachung, enthält eine fehlerhafte Zugriffskontrolle (CWE-250), zu der fehlende Authentisierungsprüfungen und unsichere direkte Objektreferenzen gehören. Ein angemeldeter Angreifer mit einem Konto mit niedrigen Rechten kann auf Objekte zugreifen, die ihm nicht zustehen, was eine Rechteerweiterung sowie das unautorisierte Ändern oder Löschen sensibler Anwendungsdaten ermöglichen kann. Der Eintrag nennt v4.5.0 als betroffen, und der CVSS-Wert beträgt 8.8 (HIGH). Eine Ausnutzung ist nicht bekannt.
Betroffen
- HCL iControl v4.5.0 (gemäss CVE-Eintrag; Standardstatus nicht betroffen)
- Status anderer Versionen: Unbekannt.
Behoben in
- Unbekannt. Die Herstellerwarnung KB0133940 muss auf die korrigierte Version geprüft werden.
Umgehung
- Kein vom Hersteller veröffentlichter Workaround gefunden.
- Übergangsmassnahmen (keine Herstellervorgabe): Netzwerkzugriff auf interne Management-Netze oder VPN beschränken, Least-Privilege-Prinzip anwenden, Benutzerrollen und objektbezogene Berechtigungen prüfen.
Ausnutzung
- In freier Wildbahn ausgenutzt: Keine bekannt.
- CISA SSVC: Ausnutzung keine, automatisierbar nein.
- Öffentlicher Proof of Concept: Keiner gefunden.
Unsere Empfehlung
- Prüfen, ob iControl im Einsatz ist und welche Version läuft; feststellen, ob v4.5.0 oder andere betroffene Versionen vorhanden sind.
- KB0133940 auf die korrigierte Version prüfen und den Herstellerpatch einspielen.
- Sicherstellen, dass iControl nicht aus dem Internet erreichbar ist und nur vertrauenswürdigen internen Benutzern offensteht.
- Benutzerrollen überprüfen und auf unerwartete Datenänderungen oder -löschungen achten.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- HCL Security Bulletin KB0133940 support.hcl-software.com
- OpenCVE: CVE-2026-66246 app.opencve.io
- Strix: CVE-2026-66246 www.strix.ai
- HCL iControl product page www.hcl-software.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 23:00.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.