Pulp – Fehlerhafte RBAC-Rechtezuweisung bei in Tasks erzeugten Objekten

Beschreibung

Im Pulp-Paket wird bei rollenbasierten Zugriffsobjekten, die bei ihrer Erstellung Rechte zuweisen, der Ersteller anhand des aktuell authentifizierten Nutzers bestimmt. Bei innerhalb eines Tasks erzeugten Objekten wird dieser Nutzer jedoch auf den ersten Nutzer mit Rechten am Task-Objekt gesetzt, sodass stets der älteste Nutzer mit Task-Rechten als Ersteller gilt. Alle in Tasks erzeugten Objekte erhalten dadurch ihre Rechte fälschlich diesem Nutzer, während der eigentlich erstellende Nutzer leer ausgeht. CVSS-Basiswert: 8.3 (Hoch). Empfohlene Massnahme: eine korrigierte Version einspielen.

Changelog

1. 2026-07-20 · zuletzt

   • Report neu erstellt.

Automatisch aus dem Vergleich der Datenstände erzeugt (CVSS, Schweregrad, KEV-Status, Ransomware, betroffene Produkte, EPSS-Sprünge ab 5 Prozentpunkten). Nicht redaktionell verfasst.

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in Rockwell Automation

• Rockwell Multiple Products – Insufficient Protected Credentials KEV CVE-2021-22681
• Cisco IOS/IOS XE SNMP – Denial of Service und Remote Code Execution KEV CVE-2025-20352
• VMware ESXi/Workstation – TOCTOU Race Condition KEV CVE-2025-22224
• VMware ESXi – Arbitrary Write Vulnerability KEV CVE-2025-22225
• VMware ESXi/Workstation/Fusion – Information Disclosure KEV CVE-2025-22226
• Microsoft Windows Installer – Improper Privilege Management KEV CVE-2024-38014