Apache Allura: Fehlende OAuth1-Callback-Validierung ermöglicht Open Redirect
Zusammenfassung
Apache Allura bis einschliesslich 1.21.0 validiert OAuth1-Callback-URLs nicht korrekt (CWE-601). Ein Angreifer kann dies missbrauchen, um Benutzer auf nicht vertrauenswürdige Seiten umzuleiten, wodurch Phishing über eine vertrauenswürdige Domain das Hauptrisiko ist. Der Angriff erfordert einen präparierten OAuth-Ablauf oder Link, und die CISA-SSVC-Bewertung zeigt keine Ausnutzung. Der veröffentlichte CVSS-Wert von 9.1 ist zwischen den Quellen umstritten, daher sollte nach Exposition priorisiert werden.
Betroffen
- Apache Allura bis einschliesslich 1.21.0
Behoben in
- Apache Allura 1.22.0 (behebt CVE-2026-92116, CVE-2026-92120 und CVE-2026-92119)
Umgehung
- Keine vom Hersteller veröffentlichte Massnahme. Apache empfiehlt das Update.
- Bis zum Patch OAuth1-Applikationen und deren Callback-URLs überprüfen und Callbacks auf bekannte, vertrauenswürdige Domains beschränken.
Ausnutzung
- CISA-SSVC-Bewertung: Exploitation none, Automatable yes, Technical Impact total.
- Keine Hinweise auf aktive Ausnutzung gefunden. Kein öffentlicher Proof-of-Concept gefunden (Quellen von Aggregatoren mit geringer Verlässlichkeit).
Unsere Empfehlung
- Alle Allura-Instanzen und deren Versionen identifizieren und nach Versionen 1.21.0 oder älter suchen.
- Auf Allura 1.22.0 aktualisieren.
- Nach dem Update OAuth1-Applikationsbetreiber auffordern, exakte https-Callback-URLs zu registrieren, da ältere Applikationen bis zur Bearbeitung jeden Callback akzeptieren.
- Vendor-Advisory und NVD auf Aktualisierungen prüfen, da der NVD-Status derzeit Deferred ist.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Apache Allura 1.22.0 release post allura.apache.org
- Apache mailing list thread lists.apache.org
- oss-security post CVE-2026-92116 www.openwall.com
- OpenCVE CVE-2026-92116 app.opencve.io
- Rapid7 listing on Vulners vulners.com
- Mend listing on Vulners vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 06:51.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.