Genian SSL PNS: OS-Command-Injection im Konto-Authentifizierungsprozess
Zusammenfassung
Eine OS-Command-Injection-Schwachstelle im Konto-Authentifizierungsprozess von Genian SSL PNS (xenics_auther) erlaubt einem entfernten Angreifer, beliebige Befehle auf dem Server auszuführen. Gemäss Sicherheitshinweis des Herstellers benötigt der Angreifer nur die Client-Zugangs-ID und kein Passwort. Der CVSS-4.0-Basiswert beträgt 8.4 (Hoch), und die NVD-Analyse war zum Zeitpunkt der Veröffentlichung noch ausstehend.
Betroffen
- Genian SSL PNS (xenics_auther) Versionen vor 1.0.1
Behoben in
- Aktualisierung auf Version 1.0.1 (gemäss CNA-Eintrag; die behobene Version im Sicherheitshinweis des Herstellers prüfen)
Umgehung
Unbekannt.
Ausnutzung
- Keine Hinweise auf eine Ausnutzung in freier Wildbahn gefunden.
- Nicht im CISA-KEV-Katalog aufgeführt.
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
- Kein öffentlicher Proof of Concept gefunden.
Unsere Empfehlung
- Alle Installationen von Genian SSL PNS (xenics_auther) und deren Versionen inventarisieren.
- Jede Installation vor 1.0.1 nach Prüfung des GHSA-Hinweises aktualisieren.
- Netzwerkzugriff auf den Dienst einschränken, insbesondere bei aus dem Internet erreichbaren Systemen.
- Den Personenkreis, der Client-Zugangs-IDs kennt, begrenzen und Logs auf ungewöhnliche Prozessausführungen auf dem Host überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-2597-v98f-frhj github.com
- OpenCVE: CVE-2026-76146 app.opencve.io
- CVE Threatint: CVE-2026-76146 cve.threatint.com
- Vulners VulnRichment: CVE-2026-76146 vulners.com
- Strix: CVE-2026-76146 www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 13:00.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.