Cockpit: Lokale Rechteausweitung über Symlink-Verarbeitung im SSH-Schlüssel-Helper

Zusammenfassung

Ein Fehler im Helper ssh-add-public-key.sh von Cockpit, dem webbasierten Administrationswerkzeug für Server, erlaubt einem lokal angemeldeten, authentifizierten Benutzer eine Rechteausweitung. Ein Angreifer, der das Home-Verzeichnis eines Zielkontos kontrolliert, kann über Symlinks in den Pfaden .ssh oder authorized_keys erreichen, dass der Helper bei erhöhten Rechten Eigentümer und Modi beliebiger Dateien ändert. Der Angriff erfordert eine privilegierte Cockpit-Sitzung und eine Benutzerinteraktion, weshalb er nicht aus der Ferne ausnutzbar ist.

Betroffen

• Red Hat Enterprise Linux 7, 8, 9 und 10 (Red-Hat-Status: betroffen, in den Quellen ist kein fehlerbehobener Build aufgeführt)
• Red Hat OpenShift Dev Spaces (Red-Hat-Status: betroffen)
• Betroffene Upstream-Versionen von Cockpit: Unbekannt.

Behoben in

• Upstream-Cockpit 372 (veröffentlicht am 10. Nov 2026) enthält die Korrektur.
• Fehlerbehobene Paketversionen für RHEL und OpenShift Dev Spaces: Unbekannt.
• Repology-Momentaufnahmen zeigten Cockpit 370 in CentOS Stream 10 und in Fedora-44-Updates; es gibt keine Hinweise, dass diese 372 enthalten.

Umgehung

• Kein Workaround des Herstellers gefunden.
• Übergangsmassnahmen (eigene Empfehlungen, keine Herstellerangaben): Lokale Konten, die sich bei Cockpit anmelden können, einschränken und die .ssh-Verzeichnisse und authorized_keys-Dateien der von Cockpit verwalteten Benutzer auf unerwartete Symlinks prüfen.

Ausnutzung

• Kein öffentlicher Proof of Concept gefunden.
• Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden; CISA KEV nicht geprüft.
• Voraussetzung sind ein lokales, authentifiziertes Konto, die Kontrolle über das Home-Verzeichnis des Zielkontos und eine privilegierte Cockpit-Sitzung.

Unsere Empfehlung

• Cockpit auf Version 372 oder das korrigierte Herstellerpaket aktualisieren, sobald es für Ihre Distribution verfügbar ist.
• Die installierte Cockpit-Version auf allen Systemen prüfen und Systeme, die aus dem Internet erreichbar sind, priorisieren, da dieselbe Version auch die Fernschwachstelle CVE-2026-91150 behebt.
• Lokale Konten und den Cockpit-Zugriff auf benötigte Benutzer beschränken und .ssh- und authorized_keys-Dateien auf unerwartete Symlinks prüfen.
• Priorität: mittel für KMU; höher bei Linux-Systemen mit mehreren Benutzern oder gemeinsam genutzten Jump-Servern.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Red Hat CVE record CVE-2026-91151 access.redhat.com
• Red Hat Bugzilla 2478404 bugzilla.redhat.com
• Cockpit fix commit 4796b28 github.com
• Cockpit release 372 github.com
• Cockpit pull request 23921 github.com
• VulDB entry 435970 vuldb.com
• Repology Cockpit package versions repology.org

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 21:22.