Octopus Server: Falsche Autorisierung bei der Berechtigungsprüfung für Projekt-Trigger
Zusammenfassung
Octopus Server prüft die Berechtigungen von Benutzern, die Projekt-Trigger erstellen, nicht korrekt. Ein authentifizierter Benutzer mit niedrigen Rechten und Berechtigung zum Erstellen von Triggern kann Runbooks ausführen oder Deployments erstellen, zu denen er nicht berechtigt ist. Voraussetzung ist ein gültiges Konto auf dem Server, und der Hersteller beschreibt die Auswirkung auf die Integrität als hoch.
Betroffen
- Octopus Server 2019.11.0 bis vor 2026.2.13487
- Octopus Server 2026.3.0 bis vor 2026.3.15863
- Gemäss Upgrade-Empfehlung des Herstellers ist auch 2026.1.x betroffen und muss auf 2026.2.13487 oder neuer aktualisiert werden (im CVE-Eintrag nicht aufgeführt)
- Octopus-Cloud-Instanzen wurden vom Hersteller bereits aktualisiert
Behoben in
- Octopus Server 2026.2.13487 (für 2026.1.x und 2026.2.x)
- Octopus Server 2026.3.15863 (für 2026.3.x)
- Vom Hersteller empfohlene neueste Version: 2026.3.16030
Umgehung
Unbekannt. Der Hersteller gibt an, dass keine bekannte Massnahme zur Verfügung steht, und empfiehlt, so rasch wie möglich zu aktualisieren.
Ausnutzung
- Dem Hersteller sind keine öffentlichen Ankündigungen oder böswillige Nutzung bekannt.
- Die Schwachstelle wurde bei internen Tests von Nathan Willoughby bei Octopus Deploy gefunden.
- Öffentlicher Proof of Concept: unbekannt (nicht verifiziert).
- Zum Zeitpunkt der Recherche nicht im CISA-KEV-Katalog aufgeführt.
Unsere Empfehlung
- Alle Octopus-Server-Instanzen und deren genaue Versionen inventarisieren, einschliesslich 2026.1.x.
- Mindestens auf 2026.2.13487 oder 2026.3.15863 aktualisieren; der Hersteller empfiehlt 2026.3.16030.
- Bis zur Behebung einschränken, wer Projekt-Trigger erstellen oder bearbeiten darf, und bestehende Trigger überprüfen.
- Web-Oberfläche und API nicht aus dem Internet erreichbar machen und den Zugriff auf Admin-Netze beschränken.
- Audit-Logs auf erstellte Trigger sowie auf Runbook- oder Deployment-Ausführungen durch nicht berechtigte Benutzer prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Octopus Security Advisory 2026-20 advisories.octopus.com
- OpenCVE: CVE-2026-93487 app.opencve.io
- ThreatInt: CVE-2026-93487 record cve.threatint.com
- Octopus Security Advisory 2026-06 (project triggers) advisories.octopus.com
- Octopus documentation: Deployment target triggers octopus.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 09:24.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.