Eclipse Che: Server-Side Request Forgery und Offenlegung von SCM-Token
Zusammenfassung
Eclipse Che ab Version 7.29.0 übergibt vom Angreifer kontrollierte URLs ohne Einschränkung von Schema oder Host an einen Fetcher. Jeder authentifizierte Che-Benutzer kann lokale Dateien lesen, einschliesslich des Service-Account-Tokens von Kubernetes, interne HTTP-Dienste und Cloud-Metadaten-Endpunkte erreichen sowie einen gespeicherten SCM-Personal-Access-Token an einen Host seiner Wahl senden. Die Token-Offenlegung funktioniert auch, wenn ein Opfer einen Workspace aus einer manipulierten Devfile-Datei öffnet.
Betroffen
- Eclipse Che 7.29.0 bis vor 7.123.0 (gemäss CVE-Eintrag)
- Endpunkte: GET /api/scm/resolve und POST /api/factory/resolver
Behoben in
Unbekannt. Der Hersteller hat keinen Fix bestätigt; die Advisory besagt, dass kein Fix verfügbar ist.
Umgehung
- Einschränken, wer Che-Konten und Workspace-Zugriff besitzt
- Ausgehenden Netzwerkverkehr von Che-Server- und Workspace-Pods begrenzen, insbesondere zu Link-Local-Metadaten-Adressen und internen Netzen
- Keine unbekannten Factory-Links oder Devfile-Dateien öffnen
- Möglicherweise offengelegte SCM-Personal-Access-Token rotieren
- Berechtigungen des Kubernetes-Service-Accounts sowie Umfang und Gültigkeitsdauer der PATs reduzieren
Ausnutzung
- Keine bekannte Ausnutzung in freier Wildbahn, kein öffentlicher Proof of Concept gefunden (Suchabdeckung war begrenzt)
- CISA SSVC: Ausnutzung keine, automatisierbar nein
Unsere Empfehlung
- Prüfen, ob Eclipse Che eingesetzt wird und welche Version läuft
- Che-Benutzerkonten auf vertrauenswürdige Benutzer beschränken
- Ausgehenden Verkehr von Che-Pods einschränken, insbesondere zu 169.254.169.254 und internen Netzen
- SCM-Token rotieren, falls unbekannte Factory-Links oder Devfile-Dateien geöffnet wurden
- Eclipse-Advisory und NVD-Eintrag auf einen Fix prüfen und nach Abschluss der NVD-Analyse erneut kontrollieren
- Zusätzlich auf CVE-2026-114278 in che-machine-exec prüfen
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Eclipse Foundation work item CVE assignment gitlab.eclipse.org
- Eclipse Foundation vulnerability report 620 gitlab.eclipse.org
- Red Hat Jira CRW-11956 redhat.atlassian.net
- Strix AI CVE-2026-86671 www.strix.ai
- che-server pull request 1048 github.com
- OpenCVE Eclipse Che app.opencve.io
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 12:50.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.