Cockpit: Denial of Service durch unbegrenzt gesammelte fragmentierte WebSocket-Nachrichten

Zusammenfassung

Eine Schwachstelle im Webdienst cockpit-ws von Cockpit, der webbasierten Linux-Verwaltungsoberfläche, erlaubt einem nicht authentifizierten Angreifer aus der Ferne, speziell aufgebaute fragmentierte WebSocket-Nachrichten zu senden. Die Fragmente werden ohne Gesamtgrösse-Limit gesammelt, sodass der Speicherverbrauch wächst, bis der Dienst erschöpft ist. Dadurch kann Cockpit nicht mehr verfügbar sein, und das Risiko ist dort am höchsten, wo der Cockpit-Port aus dem Internet erreichbar ist.

Betroffen

• Red Hat Enterprise Linux 7, 8, 9 und 10 (Cockpit, vom CNA als betroffen für alle Versionen markiert)
• Red Hat OpenShift Dev Spaces
• Upstream-Cockpit-Versionen vor 372 (abgeleitet, nicht explizit bestätigt)

Behoben in

• Upstream Cockpit 372 (Fix-Commit 4bc66ac3e5b4923528f1ac89517a009b7bc90f93)
• Fixierte Paketversionen von Red Hat und Distributionen: Unbekannt.

Umgehung

• Netzwerkzugriff auf den Cockpit-Port (cockpit-ws) mit einer Firewall einschränken oder nur über VPN zulassen.
• cockpit-ws deaktivieren, falls Cockpit nicht benötigt wird.

Ausnutzung

• Zum Zeitpunkt der Veröffentlichung ist keine Ausnutzung in freier Wildbahn bekannt.
• Zum Zeitpunkt der Veröffentlichung ist kein öffentlicher Proof of Concept oder Exploit-Code bekannt.

Unsere Empfehlung

• Prüfen, ob Cockpit auf einem Host installiert und aktiv ist, und ob dessen Port aus dem Internet erreichbar ist.
• Bei Exposition den Zugriff auf Cockpit sofort einschränken und Cockpit deaktivieren, falls es nicht genutzt wird.
• Das Update des Herstellers einspielen, sobald Red Hat oder die Distribution eine fixierte Version nennt, und die Version mit der Herstellerinformation abgleichen.
• Die verwandten Cockpit-CVEs (CVE-2026-91147, CVE-2026-91149, CVE-2026-91151) gemeinsam patchen.
• Die Red Hat CVE-Seite und NVD in den nächsten Tagen auf fixierte Versionen und Berichte zur Ausnutzung prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Red Hat CVE record CVE-2026-91150 access.redhat.com
• Red Hat Bugzilla 2478436 bugzilla.redhat.com
• Cockpit fix commit 4bc66ac github.com
• Cockpit release 372 github.com
• CVE Program record CVE-2026-91150 www.cve.org
• Cockpit pull request 23921 github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 20:33.