Rex: Fehlende Verifizierung des SSH-Host-Schlüssels bei rsync-Sync
Zusammenfassung
Rex bis 1.16.1 für Perl führt rsync-Übertragungen über SSH mit fest codiertem StrictHostKeyChecking=no aus, sodass unbekannte Host-Schlüssel akzeptiert werden. Über set_openssh_opt gesetzte Optionen erreichen diesen Befehl nicht, daher lässt sich die Prüfung des Host-Schlüssels per Konfiguration nicht wiederherstellen. Ein Angreifer, der die SSH-Verbindung umleiten kann, bevor der echte Host-Schlüssel bekannt ist, kann bei Passwort-Authentifizierung das Verbindungspasswort erhalten und die übertragenen Dateien lesen, schreiben oder ersetzen.
Betroffen
- Rex für Perl, alle Versionen bis 1.16.1
- Betroffener Codepfad: sync für rsync-Übertragungen auf Remote-Hosts (Passwort, Private Key und Fallback)
Behoben in
Unbekannt. Derzeit ist keine behobene CPAN-Version verfügbar.
Umgehung
- Mit Konfiguration lässt sich die Host-Schlüssel-Prüfung für sync nicht wiederherstellen; Rex sync für Übertragungen über unsichere Netzwerke meiden
- scp oder rsync manuell mit fixiertem Host-Schlüssel in known_hosts und aktivierter strikter Prüfung verwenden
- Schlüsselbasierte Authentifizierung bevorzugen und keine Passwörter über diesen Pfad senden
- Übertragene Dateien mit Prüfsummen gegen eine bekannte gute Kopie verifizieren
Ausnutzung
- CISA SSVC: Exploitation none, automatisierbar ja, technische Auswirkung total
- Kein öffentlicher Proof of Concept und kein Nachweis einer Ausnutzung gefunden
- Laut einem Aggregator nicht im CISA KEV (nicht unabhängig geprüft)
Unsere Empfehlung
- Prüfen, ob Rex sync für Übertragungen auf Remote-Hosts genutzt wird, insbesondere über WAN, Cloud- oder geteilte Netzwerke
- Die oben genannten Workarounds anwenden, bis eine behobene Version veröffentlicht ist
- Rex-Steuerungshosts auf geänderte Host-Schlüssel und unerwartete known_hosts-Einträge überwachen
- Aktualisieren oder fixieren, sobald die Maintainer eine Korrektur veröffentlichen
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- oss-security post CVE-2026-94140 www.openwall.com
- Rex 1.16.1 Rsync.pm source metacpan.org
- OSV Debian entry CVE-2026-94140 osv.dev
- Strix CVE overview www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 05:34.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.