CVE-2026-12515: Adgangsfejl i Red Hat Satellite Katello

Katello er det indholdsstyringsmodul i Red Hat Satellite, som administrerer software-repositories og pakker til jeres Linux-servere. En fejl i funktionen ContentUploadsController, der håndterer upload af indhold, mangler tilstrækkelig kontrol af, hvilke repositories en bruger reelt har adgang til. En bruger med rettigheden edit_products, som normalt kun må redigere bestemte produkter, kan derfor forespørge på indholdsinformation for repositories uden for eget ansvarsområde. Det gør det muligt at afgøre, om bestemt indhold eksisterer i repositories, brugeren ellers er afskåret fra. Fejlen giver ikke adgang til at ændre, importere eller udgive indhold, kun til at se, hvad der findes.

Sårbarheden rammer virksomheder og kommuner, der bruger Red Hat Satellite med Katello til at styre softwarepakker og repositories på deres Linux-servere. Det er især relevant for organisationer med flere afdelinger eller kunder i samme Satellite-installation, hvor forskellige brugere kun må se og redigere egne produkter. Alle installationer, der ikke har fået den rettede opdatering fra Red Hat, er berørt.

En medarbejder eller ekstern samarbejdspartner med begrænset adgang til Satellite kan bruge fejlen til at kortlægge, hvilke pakker og opdateringer der findes i repositories, de ikke har fået tildelt. Det afslører ikke selve indholdet, men kan bruges til at opbygge et billede af, hvilke systemer og software andre afdelinger kører, og dermed som forberedelse til yderligere angreb eller til at omgå interne opdelinger mellem kunder eller afdelinger.

CVSS-scoren er 4,3 ud af 10, moderat. Angrebet kræver et gyldigt login med rettigheden edit_products, altså en autentificeret bruger, men ingen handling fra andre. Der er ingen risiko for at ændre data eller lukke systemet ned, kun en begrænset lækage af oplysning om, hvad der findes. Der er ikke rapporteret aktiv udnyttelse af fejlen, og der findes ingen offentlig proof of concept-kode.

Sårbarheden kræver ikke akut handling, men bør rettes ved næste planlagte opdatering af Satellite.

1. Opdatér Red Hat Satellite til den version, hvor Red Hat har rettet fejlen i Katello. Tjek Red Hats erratum for CVE-2026-12515 for konkret versionsnummer til jeres udgave.
2. Gennemgå, hvilke brugere der har rettigheden edit_products, og fjern adgang for brugere, der ikke har et konkret behov.
3. Kontrollér, om repositories med fortrolige eller kunde-specifikke data er isoleret korrekt fra brugere uden for det pågældende team.
4. Log og gennemgå adgang til ContentUploadsController for usædvanlige forespørgsler i perioden op til opdateringen.
5. Sæt opdateringen på dagsordenen til jeres næste vedligeholdelsesvindue, hvis den ikke allerede er planlagt.
6. Kontakt jeres it-leverandør eller Auroa, hvis I ikke selv har overblik over rettighedsstyringen i Satellite, eller hvis opdateringen kræver test af integrationer først.