Camunda 7: Fehlende Berechtigungsprüfung im Ersteinrichtungs-Endpunkt der Admin-Webapp

Zusammenfassung

Camunda 7.24.0 vor 7.24.15 enthält eine fehlerhafte Berechtigungsprüfung im Ersteinrichtungs-Endpunkt der Admin-Webanwendung. Die Prüfung zählt nur Mitglieder der Standardgruppe camunda-admin und ignoriert Administratoren, die über adminUsers oder adminGroups konfiguriert sind. Ist camunda-admin in dieser Konfiguration ohne gespeicherte Mitglieder, kann ein nicht authentifizierter Angreifer aus dem Netzwerk ein neues Administratorkonto erstellen. Dies kann zu einer Kontoübernahme sowie zur Bereitstellung von Prozessen und zur Skriptausführung als Dienstbenutzer der Engine führen. Die Bedingung ist nicht die Standardkonfiguration und setzt einen schreibbaren Identity Provider sowie Netzwerkzugriff auf die Admin-Webapp voraus.

Betroffen

• Camunda 7.24.0 bis vor 7.24.15 (CVE-Eintrag; CodeAnt AI hat 7.24.0 getestet und nennt 7.24.0 bis 7.24.14)
• VulDB beschreibt den Bereich als bis 7.24.14
• Standardkonfiguration: laut CVE-Eintrag nicht betroffen

Behoben in

• Camunda 7.24.15 (CVE-Eintrag und Forschungsbericht von CodeAnt AI; veröffentlicht am 15. September 2026)
• Ein Aggregator nennt 7.24.16 als Korrektur; nicht gegen die Versionshinweise von Camunda geprüft
• Unbekannt: Für diese CVE wurde kein Sicherheitshinweis von Camunda gefunden

Umgehung

• Netzwerkzugriff auf die Admin-Webapp und insbesondere auf /camunda/api/admin/setup/ mit Firewall-Regeln oder einem Reverse Proxy einschränken
• Gespeicherte Mitglieder der Gruppe camunda-admin prüfen; ein Wert von null ist ein Anlass zur Untersuchung, aber kein Beweis für eine Ausnutzbarkeit
• Die Einschränkung ist nur eine vorübergehende Massnahme bis zur Installation der korrigierten Version

Ausnutzung

• CISA SSVC: Exploitation 'poc', Automatisierbarkeit 'no', technische Auswirkung 'total'
• Ein öffentlicher technischer Bericht ist vorhanden (CodeAnt AI, Camunda 7 Run 7.24.0)
• Zum Zeitpunkt der Recherche wurde keine Ausnutzung in freier Wildbahn gefunden
• CVSS 4.0 Wert 9.2 (Kritisch) laut CNA; CVSS 3.1 Wert 8.1 (Hoch) laut anderen Quellen

Unsere Empfehlung

• Prüfen, ob Camunda 7 in den Versionen 7.24.0 bis 7.24.14 eingesetzt wird, einschliesslich Camunda 7 Run und WAR-Dateien der Webapps
• Auf Camunda 7.24.15 oder neuer aktualisieren und die korrigierte Version auf der Download-Seite von Camunda verifizieren
• Bis dahin den Zugriff auf die Admin-Webapp und den Setup-Endpunkt einschränken
• Mitgliedschaften der Gruppe camunda-admin und Administratorkonten auf unerwartete Einträge prüfen
• Protokolle auf unerwartete Setup-Anfragen und neue Administratorkonten überwachen

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CodeAnt AI security research: CVE-2026-77226 codeant.ai
• VulnCheck advisory: Camunda incorrect authorization via SetupResource www.vulncheck.com
• Camunda Enterprise download page docs.camunda.org
• Camunda security notices docs.camunda.org
• VulDB: CVE-2026-77226 vuldb.com
• ThreatInt CVE record summary cve.threatint.com
• Strix CVE summary www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 04:53.