Technologie
OpenSSH, GPUStack und FreeSWITCH in den CISA-KEV-Katalog aufgenommen: Passwortumgehung und Befehlsausführung werden aktiv ausgenutzt
CISA hat am 9. November vier aktiv ausgenutzte Schwachstellen in OpenSSH, GPUStack, FreeSWITCH und IBM Aspera Faspex in den KEV-Katalog aufgenommen. Für Bundesbehörden gilt eine Patch-Frist bis zum 12. November.
Die US-Behörde für Cybersicherheit und Infrastruktursicherheit (CISA) hat am Montag, dem 9. November 2026, vier Schwachstellen, die bereits in Angriffen ausgenutzt werden, in ihren Katalog bekannter ausgenutzter Schwachstellen (KEV) aufgenommen. Drei davon ermöglichen den Zugang zu Servern ohne Passwort oder erlauben die Ausführung von Befehlen aus der Ferne: CVE-2026-123158 in OpenSSH von OpenBSD, CVE-2026-102895 in GPUStack und CVE-2026-116779 in FreeSWITCH von SignalWire. Die vierte, CVE-2026-123218 in IBM Aspera Faspex, erlaubt einem Nutzer mit Konto, Autorisierungsprüfungen mit einer speziell gestalteten Nachricht zu umgehen und erhöhte Rechte zu erlangen.
Die Frist zum Einspielen der Patches ist Donnerstag, der 12. November, drei Tage nach der Aufnahme, und gilt für alle vier Einträge. Sie gilt nur für zivile Bundesbehörden der Exekutive (FCEB) und stützt sich auf die Richtlinie BOD 26-04. Diese verlangt eine rasche Behebung von Schwachstellen in öffentlich erreichbaren Systemen, wenn sie einem Angreifer die vollständige Kontrolle geben können, sowie eine Prüfung, ob das System vor dem Patchen kompromittiert wurde (forensische Triage). Bei allen Ergänzungen vermerkt der Katalog, dass unbekannt ist, ob sie in Ransomware-Angriffen eingesetzt wurden. CISA fordert alle Organisationen auf, KEV-Einträge vorrangig zu behandeln.
OpenSSH auf Linux mit musl
Bei OpenSSH spricht der Katalog von einem unerwarteten Rückgabewert, der auf Linux eine Umgehung der Authentifizierung ermöglicht. Die OpenSSH-Entwickler veröffentlichten am 5. November die Version 10.6p2 mit einer kritischen Sicherheitskorrektur für Linux-Systeme mit der musl-libc-Bibliothek, auf denen sshd ohne PAM-Unterstützung läuft. Die Ursache liegt außerhalb von sshd, doch die Schwachstelle wird über sshd ausgenutzt. Alpine Linux erklärt, dass sshd ohne PAM Passwörter mit der Funktion crypt() prüft. Die musl-Implementierung gibt das Zeichen „*“ als Fehlerkennung zurück, wenn das Passwort 256 Byte überschreitet. Dasselbe Zeichen steht in Konten ohne Passwort, etwa bei root im Basis-Image von Alpine. Deshalb besteht die Prüfung. Der Angreifer sendet ein Passwort mit 257 bis 1.024 Byte und meldet sich beim ersten Versuch an. Zusätzlich muss die Einstellung PasswordAuthentication aktiv sein, was standardmäßig der Fall ist, und es muss ein weiteres lokales Konto mit einem gehashten Passwort vom Typ $5$ oder $6$ existieren. Betroffen sind die Alpine-Versionen 3.16 bis 3.24 und der Edge-Zweig. Als Abhilfe wird ein Update mit anschließendem Neustart von sshd empfohlen oder vorübergehend die Einstellung PasswordAuthentication no. Alpine hält Systeme mit aktiviertem PAM (UsePAM yes) oder mit gesperrten Konten nicht für betroffen. Zum Zeitpunkt der Alpine-Ankündigung war noch keine CVE-Nummer vergeben; CVE-2026-123158 stammt aus dem KEV-Katalog.
GPUStack und FreeSWITCH
GPUStack, eine Open-Source-Plattform zur Verwaltung von GPU-Clustern, hat das vielschichtigste Problem. Die Sicherheitsmitteilung des Projekts (Bewertung 9,8 von 10) erklärt, dass alle Versionen vor 2.2.0 jede Anfrage, die scheinbar von der Maschine selbst stammt (Loopback), als Anfrage des eingebauten Administrators behandeln, wenn die Einstellung force_auth_localhost deaktiviert ist, wie es standardmäßig der Fall ist. Damit eine externe Anfrage lokal aussieht, genügt ein Reverse-Proxy auf derselben Maschine oder der gefälschte Header X-GPUStack-Real-IP: 127.0.0.1. So kann der Angreifer Nutzer und Modelle ändern, dauerhafte Administrator-API-Schlüssel erstellen, Zugangsdaten von Worker-Knoten und Geheimnisse von Cloud-Anbietern auslesen und über den Endpunkt POST /v2/inference-backends/from-yaml Code auf den Knoten ausführen. Die Mitteilung meldet Ausnutzung auf einer Installation mit Version 2.1.1, bei der Angreifer eigene Backends anlegten, die Reverse Shells öffneten. Abhilfe schafft Version 2.2.0 oder vorübergehend die Einstellung force_auth_localhost=true sowie das Entfernen des Headers am Netzwerkrand.
Bei FreeSWITCH, der Open-Source-Telefoniesoftware (VoIP) von SignalWire, reicht eine einzige SIP-MESSAGE, um einen Befehl auf dem Server auszuführen. Die Funktion, die eingehende Nachrichten verarbeitet, teilt den Namen des Empfängers am Zeichen „+“ und leitet die Nachricht an das entsprechende „Chat-Protokoll“ weiter. Das Protokoll „api“ übergibt den Inhalt an den Mechanismus zur Befehlsausführung der API von FreeSWITCH. Betroffen sind Versionen bis einschließlich 1.11.2 in der Standardkonfiguration. Die Schwachstelle ist als kritisch eingestuft (9,8). Die am 28. Oktober veröffentlichte Mitteilung meldet, dass die Ausnutzung bereits in der Praxis beobachtet wurde. Sie beschreibt die Folgen als Ausführung von Betriebssystembefehlen mit den Rechten des FreeSWITCH-Prozesses, als Offenlegung von Konfigurationen und Zugangsdaten sowie als vollständige Kontrolle über Anrufe. Version 1.11.3 schließt den Weg standardmäßig über den neuen Parameter enable-chat-api-proto. Wer nicht aktualisieren kann, kann enable-chat=false in Profilen setzen, die keine Chat-Nachrichten benötigen.
Die neuen Einträge folgen wenige Tage nach den Schwachstellen bei Apple und SonicWall sowie den zwei Sicherheitslücken in Ivanti Connect Secure, die CISA ebenfalls in den Katalog aufgenommen hat. Für Administratoren ergibt sich aus BOD 26-04 und der KEV-Empfehlung eine klare Reihenfolge: öffentlich erreichbare Systeme ermitteln, aktualisieren und, wo das nicht möglich ist, die temporären Maßnahmen der Hersteller anwenden oder das Produkt nicht mehr verwenden.
