Tugtainer: Unzureichende Prüfung der Signatur von OIDC-ID-Tokens

Zusammenfassung

Tugtainer, eine selbst gehostete Anwendung zur Automatisierung von Docker-Container-Updates, akzeptiert OIDC-ID-Tokens ohne Prüfung der Signatur, der Audience, des Issuers und des Ablaufdatums. Die Claims aus dem ungeprüften Token werden direkt als Benutzeridentität für die Tugtainer-Sitzung verwendet. Ein Angreifer, der das Token beeinflussen kann, etwa als Man-in-the-Middle zwischen Backend und OIDC-Provider oder mit einem falschen Provider, kann sich als andere Identität anmelden und eine Sitzung mit den Rechten dieses Benutzers erhalten. Die Schwachstelle betrifft nur Installationen mit aktiviertem OIDC-Login.

Betroffen

• Tugtainer-Versionen vor 1.31.3 (Herstellerhinweis listet <= 1.31.2)
• Nur Installationen mit aktiviertem OIDC-Login

Behoben in

• Tugtainer 1.31.3 (veröffentlicht am 06.08.2026)

Umgehung

• Kein Workaround vom Hersteller. Auf Version 1.31.3 oder neuer aktualisieren.
• Falls ein Update nicht sofort möglich ist: OIDC-Login deaktivieren und den Zugriff auf die Benutzeroberfläche mit VPN, IP-Allowlist oder authentifiziertem Reverse Proxy einschränken.

Ausnutzung

• Für diesen Hinweis wird ein öffentlicher Proof of Concept referenziert; dessen Inhalt wurde nicht geprüft.
• CISA SSVC: Ausnutzungsstatus poc, nicht automatisierbar.
• Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden; die CVE ist nicht im CISA-KEV-Katalog gelistet.

Unsere Empfehlung

• Tugtainer auf Version 1.31.3 oder neuer aktualisieren.
• Nach dem Update den OIDC-Login testen, da Tokens mit symmetrischen Algorithmen, abweichenden Issuer-URLs oder fehlendem id_token nun abgelehnt werden können.
• Prüfen, ob OIDC-Login aktiviert ist und ob die Benutzeroberfläche ausserhalb des LAN erreichbar ist; exponierte Installationen priorisieren.
• Den Docker-Socket-Mount prüfen, da eine Übernahme zur Kontrolle über den Docker-Host führen kann.
• Zugriffsprotokolle auf unerwartete OIDC-Anmeldungen prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.

• Proof of Concept auf GitHub (1 Repositories) iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).
  squeeze440/tugtainer-PoC

Quellen der Recherche

• Vendor advisory GHSA-crjc-6vc7-xrfh github.com
• Fix commit b55269b github.com
• Release v1.31.3 github.com
• OSV CVE-2026-87004 osv.dev
• CVE-2026-87004 on OpenCVE app.opencve.io

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 21:07.