CVE-2026-91012

Beschreibung

org.apache.karaf.config.core.impl.ConfigRepositoryImpl#update(pid, properties), das die "config"-MBean- und die config:*-Shell-Befehle unterstützt, leitet die Datei, in die es eine Konfiguration schreibt, von der vom Anrufer bereitgestellten Eingabe ab, ohne zu überprüfen, ob das Ergebnis innerhalb von ${karaf.etc}: * bleibt, wenn die eingereichte Eigenschaftskarte ein Felix enthält. fileinstall.filename-Eintrag, dieser Wert wird direkt in eine Datei umgewandelt (getCfgFileFromProperty), so dass er auf jeden absoluten Pfad zeigen kann, auf den der Karaf-Prozess schreiben kann; * Andernfalls wird die Konfigurations-PID verbateniert in den Zieldateinamen (generateConfigFilename(): neue Datei(karaf.etc, pid + ".cfg"), so dass eine PID mit ".."-Segmenten außerhalb von ${karaf.etc} aufgelöst wird. createFactoryConfiguration() hat das gleiche Problem über die Werks-PID/alias. Beide Codepfade sind für jeden Anrufer erreichbar, der die "Manager"-Rolle unter Karafs versendetem Kommando / JMX ACL innehat (org.apache.karaf.command.acl.conf.cfg: "update = Manager"). Ein solcher Benutzer kann daher angreifergesteuerte Inhalte in jede Datei schreiben, die der Karaf-Prozess schreiben kann, einschließlich Dateien, die die gleiche ACL sonst an "admin" reserviert (etc/users.properties, etc/*.acl.*.cfg, etc/org.apache.karaf.management.cfg, und ähnliches), so dass ein Manager-Rollen-Benutzer sich die Admin-Rolle einräumen kann oder anderweitig den Container übernimmt. ConfigMBeanImpl.install() und der config:install-Shell-Befehl haben bereits das entsprechende Risiko auf ihrem eigenen Codepfad mit einer String-Prüfung finalname.contains("..") geschützt, aber diese Prüfung stoppt keine absoluten Pfade oder symlinkbasierte Fluchten, und sie wurde nie auf ConfigRepositoryImpl.update() / createFactoryConfiguration() angewendet.

Quellen & weiterführende Informationen

Hier werden ausschließlich tatsächlich zu dieser Schwachstelle gespeicherte Quellenbelege angezeigt.

Was ist zur Behebung zu tun?

Herstellerhinweise prüfen und das betroffene Produkt kurzfristig patchen oder kompensierende Schutzmaßnahmen aktivieren.

Empfohlene Schritte

• Betroffene Systeme identifizieren: Apache Software Foundation karaf.
• Exposition prüfen: Internet-Erreichbarkeit, Admin-Oberflächen, VPN, Mail- oder Webdienste.
• Hersteller-Advisory öffnen und verfügbare Updates, Workarounds oder Deaktivierungen prüfen.
• Nacharbeiten dokumentieren: betroffene Assets, Maßnahme, Zeitpunkt, Restrestrisiko.

Übergangsmaßnahmen

• Zugriff auf betroffene Dienste auf vertrauenswürdige Netze einschränken.
• WAF/IDS/EDR-Regeln und Hersteller-IOCs aktivieren, sofern verfügbar.
• Nicht benötigte Funktionen, Plugins oder Dienste temporär deaktivieren.