HCL BigFix AEX: Remote Code Execution durch Command- oder Code-Injection
Zusammenfassung
HCL BigFix AEX, ein KI-Assistent, der neben dem BigFix Endpoint Management läuft, ist von einer Schwachstelle betroffen, die als OS Command Injection (CWE-78) und Code Injection (CWE-94) eingestuft ist. Gemäss CVE-Eintrag könnte ein Angreifer Code mit den Rechten der betroffenen Anwendung oder des betroffenen Dienstes ausführen, was zu unautorisiertem Zugriff, Datenabfluss oder einer Kompromittierung des Systems führen kann. Der CVSS-3.1-Basiswert beträgt 9.1 (kritisch), der Vektor setzt jedoch hohe Berechtigungen voraus und die Herstellerbeschreibung nennt die betroffene Komponente nicht, weshalb die Bewertung vorläufig ist.
Betroffen
- HCL BigFix AEX v13.0.0.1 (gemäss CNA-Eintrag; andere Versionen unbekannt)
Behoben in
Unbekannt. Behobene Versionen sind im Hersteller-Advisory KB0134281 zu prüfen.
Umgehung
Unbekannt. Ein Workaround des Herstellers ist nicht bestätigt. Bis das Advisory gelesen wurde, den Netzwerkzugriff auf die AEX-Komponente einschränken und begrenzen, wer die dafür nötigen Berechtigungen besitzt.
Ausnutzung
- Gemäss OffSeq nicht als ausgenutzt bekannt.
- Gemäss Strix nicht im CISA-KEV-Katalog enthalten.
- Kein öffentlicher Proof of Concept gefunden.
- EPSS: 0.46 % (Perzentil 40).
Unsere Empfehlung
- Prüfen, ob eine BigFix-AEX-13.0.0.1-Instanz im Einsatz ist.
- Advisory KB0134281 für behobene Versionen und Workarounds lesen und den Fix einspielen, sobald verfügbar.
- Bis ein Fix installiert ist, den Netzwerkzugriff auf AEX einschränken und privilegierte Konten überprüfen.
- Den NVD-Eintrag überwachen, der noch in Analyse ist.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- HCL Security Bulletin KB0134281 support.hcl-software.com
- VulDB CVE-2026-67074 vuldb.com
- OffSeq Radar CVE-2026-67074 radar.offseq.com
- Strix CVE-2026-67074 www.strix.ai
- GCVE CNA search HCL db.gcve.eu
- HCL BigFix AEX product page www.hcl-software.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 05:16.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.