Arcane: Exfiltration von Container-Registry-Zugangsdaten durch URL-Änderung

Zusammenfassung

Arcane, eine Weboberfläche zur Verwaltung von Docker-Containern, Images, Netzwerken und Volumes, verhindert nicht, dass ein gespeichertes Registry-Token nach einer Änderung der Registry-URL weiterverwendet wird. Ein Benutzer mit den Rechten registries:update und registries:test kann eine generische Registry auf einen vom Angreifer kontrollierten Host umleiten, ohne ein neues Token anzugeben, und Arcane sendet dann das gespeicherte Token an diesen Host. Ein erfolgreicher Angriff legt den Registry-PAT oder das Passwort offen, was Zugriff auf Images oder deren Manipulation in dieser Registry ermöglichen kann.

Betroffen

• Arcane-Versionen vor 2.5.0
• Ausnutzung erfordert ein Konto mit den Rechten registries:update und registries:test
• Nur generische Registries (ECR ist vom Korrekturpfad nicht betroffen)

Behoben in

• Behoben in Arcane 2.5.0 (backend/v2.5.0), Fix-Commit fe31693634f48f295a7d77d091085b331cf9e915 (PR #3317)

Umgehung

• Unbekannt. Der Hersteller veröffentlicht keinen Workaround.
• Rechte registries:update und registries:test bis zur Aktualisierung auf vertrauenswürdige Administratoren beschränken.

Ausnutzung

• Keine Hinweise auf aktive Ausnutzung gefunden.
• Kein öffentlicher Proof-of-Concept bekannt.
• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung teilweise.
• EPSS 0.00216.
• NVD-Status: Deferred.

Unsere Empfehlung

• Arcane auf Version 2.5.0 oder neuer aktualisieren.
• Prüfen, wer die Rechte registries:update und registries:test besitzt, und nicht benötigte Rechte entfernen.
• Nach der Aktualisierung Registry-Einträge auf geänderte URLs prüfen. Falls ein nicht vertrauenswürdiger Benutzer eine URL geändert haben könnte, das gespeicherte Registry-Token oder Passwort rotieren.
• Die Arcane-Oberfläche nicht ohne VPN oder authentifizierten Reverse Proxy ins Internet exponieren.
• Ausgehende Authentifizierungsversuche von Arcane-Instanzen überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-9pxc-cxp5-qp54 github.com
• Fix commit fe31693 (container registry service) github.com
• Pull request #3317 github.com
• Arcane release backend/v2.5.0 github.com
• CVE-2026-96626 at Vulners (CNA data) vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 10:27.