CVE-2026-86464 in aeriOS
Zusammenfassung
von VulDB • 09.09.2026
In der aktuellen Entwicklungsversion von Eclipse aeriOS, für die noch keine offizielle Veröffentlichung vorliegt, enthielt das Identity-Manager-(IdM)-Deployment unsichere Standardkonfigurationen und Anmeldeinformationen für sicherheitskritische Dienste.
Das Helm-Chart stellte den Keycloak-Dienst sowie seine PostgreSQL-Hintergrunddatenbank standardmäßig über Kubernetes NodePort-Services bereit; die Docker Compose-Bereitstellung exponierte ebenfalls PostgreSQL an allen Netzwerkschnittstellen. Das Deployment enthielt feste Standardanmeldeinformationen für den Keycloak-Administrator und den PostgreSQL-Datenbankbenutzer, und die vorherige Helm-Chart-Konfiguration bot kein angemessenes Secret-Management (Geheimnisverwaltung) für diese Anmeldeinformationen. Darüber hinaus wurden vordefinierte Anwendungsbenutzer mit bekannten Anmeldeinformationen für Entwicklungs- und Testzwecke bereitgestellt, ohne Betreiber ausreichend davor zu warnen, sie in Produktionsumgebungen einzusetzen.
Ein Angreifer, der Zugriff auf die exponierten Dienste erlangen kann, könnte die veröffentlichten Standardanmeldeinformationen nutzen, um administrative Zugriffsrechte auf den Identity Manager oder direkten Zugriff auf dessen Datenbank zu erhalten. Dies würde unbefugten Zugriff auf Identitätsmanagementdaten – einschließlich Benutzern, Rollen, Client-Anmeldeinformationen, Sitzungen und kryptografischem Material – sowie deren Modifikation ermöglichen und die Erstellung privilegierter Identitäten oder Token erlauben, die von anderen aeriOS-Komponenten akzeptiert werden.
Das Problem wurde behoben, indem standardmäßig ein zufälliges Keycloak-Administratorpasswort generiert, das Management der Keycloak- und PostgreSQL-Anmeldeinformationen über Kubernetes Secrets sichergestellt sowie PostgreSQL sowohl im Helm-Chart als auch in der Docker Compose-Bereitstellung auf einen internen Service beschränkt wurden. OpenLDAP wird ebenfalls auf einen internen Service beschränkt. Die vordefinierten Benutzer, die für Entwicklungs- und Testzwecke vorgesehen sind, bleiben erhalten; die Dokumentation warnt jedoch nun explizit davon, dass deren Standardanmeldeinformationen nicht in Produktionsumgebungen verwendet werden dürfen und diese Benutzer nach der Installation entfernt oder ihre Anmeldeinformationen geändert werden sollten.
If you want to get best quality of vulnerability data, you may have to visit VulDB.