CVE-2026-91006

Beschreibung

Apache Karafs Instanz-Management-Service (InstanceServiceImpl) erstellt die Befehlszeile, mit der ein Kind Karaf JVM per String-Verkettung gestartet wird, und führt sie dann über /bin/sh (Unix) oder cscript (Windows) aus. Der vom Anrufer bereitgestellte javaOpts-Wert wird in diesen String unquoted gespleißt. Ein javaOpts-Wert, der Shell-Metazeichen (;, |, `, $(...)) enthält, wird von der Shell interpretiert, anstatt als Option an die JVM übergeben zu werden, was eine willkürliche Ausführung des OS-Befehls als Karaf-Prozessbenutzer ergibt. Erreichbar über die Shell-Befehle instanz:create, instanz:start, instanz:restart, instanz:change-opts und die entsprechenden InstanceMBean JMX-Operationen (createInstance, startInstance, changeJavaOpts, cloneInstance). Mitigation * Setzen Sie karaf.secured.command.compulsory.roles=admin in etc/system.properties, um die Fail-Open-Lücke für alle nicht konfigurierten Befehlsbereiche zu schließen. * Beschränken Sie, welche Principals Instanz:* Befehle und InstanzenMBean über etc/users.properties Rollenzuweisungen erreichen können. * Behandlung javaOpts übergeben Instanz:create/instance:start/instance:change-opts/InstancesMBean als nicht vertrauenswürdige Eingabe nur von voll vertrauenswürdigen Operatoren.

Quellen & weiterführende Informationen

Hier werden ausschließlich tatsächlich zu dieser Schwachstelle gespeicherte Quellenbelege angezeigt.

Was ist zur Behebung zu tun?

Herstellerhinweise prüfen und das betroffene Produkt kurzfristig patchen oder kompensierende Schutzmaßnahmen aktivieren.

Empfohlene Schritte

• Betroffene Systeme identifizieren: Apache Software Foundation karaf.
• Exposition prüfen: Internet-Erreichbarkeit, Admin-Oberflächen, VPN, Mail- oder Webdienste.
• Hersteller-Advisory öffnen und verfügbare Updates, Workarounds oder Deaktivierungen prüfen.
• Nacharbeiten dokumentieren: betroffene Assets, Maßnahme, Zeitpunkt, Restrestrisiko.

Übergangsmaßnahmen

• Zugriff auf betroffene Dienste auf vertrauenswürdige Netze einschränken.
• WAF/IDS/EDR-Regeln und Hersteller-IOCs aktivieren, sofern verfügbar.
• Nicht benötigte Funktionen, Plugins oder Dienste temporär deaktivieren.