Octopus Server: Rechteausweitung über gefälschte Authentifizierungs-Cookies
Zusammenfassung
In betroffenen Versionen von Octopus Server sind Authentifizierungs-Cookies unzureichend gegen Manipulation geschützt. In Kombination mit einer fehlerhaften Prüfung der Berechtigungen für Benutzer, die Benutzer oder Audit-Ereignisse einsehen können, kann ein Benutzer seine Rechte bis zur Administratorstufe ausweiten. Ist Gastzugriff aktiviert, kann laut Hersteller der Angriff als Gastbenutzer erfolgen, was den Schweregrad auf Kritisch erhöht.
Betroffen
- Octopus Server 2022.x nach 2022.1.3143
- Octopus Server 2023.x, 2024.x und 2025.x (alle Versionen)
- Octopus Server 2026.x vor 2026.2.13487
- Octopus Server 2026.3.x vor 2026.3.15875
- Octopus-Cloud-Instanzen wurden vom Hersteller bereits aktualisiert.
Behoben in
- Octopus Server 2026.2.13487 oder neuer (für 2026.2.x und 2026.1.x)
- Octopus Server 2026.3.15875 oder neuer (für 2026.3.x)
- Empfehlung des Herstellers: neueste Version 2026.3.16030
Umgehung
- Unbekannt. Der Hersteller gibt an, dass keine bekannte Massnahme zur Verfügung steht, und empfiehlt eine möglichst rasche Aktualisierung.
Ausnutzung
- Dem Hersteller sind keine öffentlichen Ankündigungen oder böswillige Nutzung bekannt.
- In unserer Recherche wurden kein Eintrag im CISA-KEV-Katalog, kein öffentlicher Proof of Concept und keine vom Hersteller gemeldete Ausnutzung in freier Wildbahn gefunden. Dies ist kein Beweis für das Fehlen einer Ausnutzung.
Unsere Empfehlung
- Octopus Server auf 2026.3.16030 aktualisieren, mindestens aber auf die korrigierte Version für Ihren Zweig (2026.2.13487 oder 2026.3.15875).
- Gastzugriff prüfen und deaktivieren, falls er nicht benötigt wird.
- Prüfen, welche Konten Benutzer oder Audit-Ereignisse einsehen können, und diese Berechtigungen einschränken.
- Benutzerkonten und Audit-Protokolle auf unerwartete Änderungen bei Administratorrechten prüfen.
- Prüfen, ob der Server von ausserhalb des Firmennetzwerks erreichbar ist, und den Zugriff einschränken, falls er nicht benötigt wird.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Vendor advisory SA2026-19 advisories.octopus.com
- Vendor advisory SA2026-17 (related fix) advisories.octopus.com
- Third-party product context securityonline.info
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 08:20.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.