Auswirkungen:

• Ausführung beliebiger Befehle als root
• Container-Escape
• Vollständige Kompromittierung des Host-Systems

CVE-2025-66212 - Authentifizierte Remote-Codeausführung durch Command Injection im Dateinamen der dynamischen Proxy-Konfiguration

GHSA ID: GHSA-q7rg-2j7p-83gp
Schweregrad: Kritisch (CVSS 9,4)
CWE: CWE-78 (OS Command Injection)

Eine authentifizierte Command-Injection-Schwachstelle in der Handhabung des Dateinamens der dynamischen Proxy-Konfiguration erlaubt Benutzern mit Berechtigungen zur Anwendungs-/Diensteverwaltung, beliebige Befehle als root auf verwalteten Servern auszuführen. Dateinamen der Proxy-Konfiguration werden ohne ordnungsgemäße Maskierung an Shell-Befehle übergeben, was eine vollständige Remote-Codeausführung ermöglicht.

Auswirkungen:

• Ausführung beliebiger Befehle als root
• Container-Escape
• Vollständige Kompromittierung des Host-Systems

CVE-2025-66211 - Authentifizierte Remote-Codeausführung durch Command Injection im Dateinamen des PostgreSQL-Initialisierungsskripts

GHSA ID: GHSA-24mp-fc9q-c884
Schweregrad: Kritisch (CVSS 9,4)
CWE: CWE-78 (OS Command Injection)

Eine authentifizierte Command-Injection-Schwachstelle in der Handhabung des Dateinamens des PostgreSQL-Initialisierungsskripts erlaubt Benutzern mit Berechtigungen zur Anwendungs-/Diensteverwaltung, beliebige Befehle als root auf verwalteten Servern auszuführen. Dateinamen von PostgreSQL-Initialisierungsskripten werden ohne ordnungsgemäße Validierung an Shell-Befehle übergeben, was eine vollständige Remote-Codeausführung ermöglicht.

Auswirkungen:

• Ausführung beliebiger Befehle als root
• Container-Escape
• Vollständige Kompromittierung des Host-Systems

CVE-2025-66209 - Authentifizierte Remote-Codeausführung durch Command Injection bei der Datenbanksicherung

GHSA ID: GHSA-vm5p-43qh-7pmq
Schweregrad: Kritisch (CVSS 9,4)
CWE: CWE-78 (OS Command Injection)

Eine authentifizierte Command-Injection-Schwachstelle in der Datenbanksicherungsfunktion erlaubt Benutzern mit Berechtigungen zur Anwendungs-/Diensteverwaltung, beliebige Befehle als root auf verwalteten Servern auszuführen. Datenbanknamen, die bei Sicherungsvorgängen verwendet werden, werden ohne Bereinigung direkt an Shell-Befehle übergeben, was eine vollständige Remote-Codeausführung ermöglicht.

Auswirkungen:

• Ausführung beliebiger Befehle als root
• Container-Escape
• Vollständige Kompromittierung des Host-Systems

CVE-2025-66210 - Authentifizierte Remote-Codeausführung durch Command Injection beim Datenbankimport

GHSA ID: GHSA-q33h-22xm-4cgh
Schweregrad: Kritisch (CVSS 9,4)
CWE: CWE-78 (OS Command Injection)

Eine authentifizierte Command-Injection-Schwachstelle in der Datenbankimportfunktion erlaubt Benutzern mit Berechtigungen zur Anwendungs-/Diensteverwaltung, beliebige Befehle als root auf verwalteten Servern auszuführen. Datenbanknamen, die bei Importvorgängen verwendet werden, werden ohne Bereinigung direkt an Shell-Befehle übergeben, was eine vollständige Remote-Codeausführung ermöglicht.

Auswirkungen:

• Ausführung beliebiger Befehle als root
• Container-Escape
• Vollständige Kompromittierung des Host-Systems

Technische Details

Alle fünf Schwachstellen resultieren aus unzureichender Eingabevalidierung und -bereinigung von benutzergesteuerten Parametern, die anschließend an Shell-Befehle übergeben werden. Die betroffenen Funktionen verarbeiten Datenbanknamen, Dateipfade und Konfigurationsdateinamen ohne ordnungsgemäße Maskierung, sodass Shell-Metazeichen injiziert und ausgeführt werden können.

Da Coolify mit erhöhten Privilegien ausgeführt wird, um Docker-Container und Host-Systemoperationen zu verwalten, führt eine erfolgreiche Ausnutzung einer dieser Schwachstellen zur Befehlsausführung als root-Benutzer auf dem Host-System, was effektiv einen Container-Escape und eine vollständige Kompromittierung des Hosts erreicht.

Proof of Concept

Technische Details und Proof-of-Concept-Exploits werden zurückgehalten, um den Benutzern zusätzliche Zeit für die Aktualisierung zu geben. Alle Schwachstellen wurden in v4.0.0-beta.451 behoben.

Abhilfe

Aktualisieren Sie umgehend auf v4.0.0-beta.451 oder höher.

Das Entwicklungsteam von Coolify hat eine umfassende Eingabevalidierung und Shell-Argument-Maskierung in allen betroffenen Funktionen implementiert, um Command-Injection-Angriffe zu verhindern.

Referenzen

• Fix Pull Request: https://github.com/coollabsio/coolify/pull/7375
• Behobene Version: https://github.com/coollabsio/coolify/releases/tag/v4.0.0-beta.451
• GitHub Security Advisories:
  • https://github.com/coollabsio/coolify/security/advisories/GHSA-cj2c-9jx8-j427
  • https://github.com/coollabsio/coolify/security/advisories/GHSA-q7rg-2j7p-83gp
  • https://github.com/coollabsio/coolify/security/advisories/GHSA-24mp-fc9q-c884
  • https://github.com/coollabsio/coolify/security/advisories/GHSA-vm5p-43qh-7pmq
  • https://github.com/coollabsio/coolify/security/advisories/GHSA-q33h-22xm-4cgh

CVE.org-Einträge:

• CVE-2025-66209
• CVE-2025-66210
• CVE-2025-66211
• CVE-2025-66212
• CVE-2025-66213

Offenlegungszeitplan

• November 2025: Schwachstellen entdeckt und an den Maintainer gemeldet
• Dezember 2025: CVE-IDs von GitHub Security vergeben
• 3. Dezember 2025: Behebungen in v4.0.0-beta.451 veröffentlicht
• 21. Dezember 2025: Öffentliche Offenlegung
• 23. Dezember 2025: CVEs offiziell auf CVE.org veröffentlicht

Danksagung

Entdeckt und gemeldet von: 0xrakan
Behoben von: Coolify-Entwicklungsteam (@andrasbacsi)

CVE-Register