Am 6. Oktober 2026 sind für Foreman und Katello Updates erschienen, die insgesamt 12 Sicherheitslücken schließen. In diesem Artikel zeige ich dir, welche Komponenten betroffen sind und auf welche Versionen du mindestens aktualisieren musst.
Die wichtigsten Punkte in 30 Sekunden
- 1 CVEs betreffen Foreman, Katello, Foreman Remote Execution, die Hammer CLI und rubygem-safemode.
- Die kritischste Lücke ist ein Safemode-Bypass mit Remote Code Execution (CVSS 9.9), dicht gefolgt von zu weitreichenden Viewer Rechten bei der Vorschau (CVSS 9.1).
- Für fast alle Lücken gibt es bereits Updates. Nur CVE-2026-79654 in Katello wird erst mit Katello 5.1 behoben.
Foreman CVEs: Auf diese Version musst du updaten
Welche Version für dich die richtige ist, hängt davon ab, welchen Release-Zweig du einsetzt. In der Tabelle findest du für jede Komponente die Mindestversion, auf die du aktualisieren solltest.
| Komponenten | Mindestversion |
| Foreman | 3.19.2 oder 5.0.1 |
| Katello | 4.21.2 oder 5.0.1 (5.1 für CVE-2026-19654 aussehend) |
| Foreman Remote Execution (rubygem-foreman_remote_execution) | 16.6.6, 17.2.2 oder 18.0.1 |
| Hammer CLI (rubygem-hammer_cli) | 3.19.1 oder 5.0.1 |
| rubygem-safemode | 2.0.1 |
Wichtig: Für CVE-2026-79654 in Katello gibt es aktuell noch keinen Fix. Dieser folgt erst mit Katello 5.1, behalte hier die Release Notes im Blick
Alle Foreman und Katello CVEs im Überblick
In der Folgenden Tabelle findest du alle 12 CVEs, sortiert nach CVSS-Score. Ausführliche Datails zu den einzelnen Lücken findest du in den Foreman Security Advisories.
| CVE | Beschreibung | CVSS | Komponente | Behoben in |
|---|---|---|---|---|
| CVE-2026-96658 | Safemode-Bypass führt zu RCE | 9.9 | Foreman, rubygem-safemode | Safemode 2.0.1, Foreman 3.19.2 / 5.0.1 |
| CVE-2026-96659 | Zu weitreichende Viewer-Rechte bei der Vorschau | 9.1 | Foreman | 3.19.2 / 5.0.1 |
| CVE-2026-12405 | Command Injection über effective_user | 8.8 | Foreman Remote Execution | 16.6.6 / 17.2.2 / 18.0.1 |
| CVE-2026-12540 | Command Injection in foreman-rake errors:fetch_log | 8.2 | Foreman | 3.19.2 / 5.0.1 |
| CVE-2026-12541 | Command Injection in foreman-rake Datenbank-Tasks | 8.2 | Foreman | 3.19.2 / 5.0.1 |
| CVE-2026-12544 | SSTI und unsichere Deserialisierung in foreman-rake configuration | 7.7 | Foreman | 3.19.2 / 5.0.1 |
| CVE-2026-12423 | Fehler in der Validierung von Provisioning-Tokens | 7.5 | Foreman | 3.19.2 / 5.0.1 |
| CVE-2026-12545 | Command Injection über den Editor | 6.7 | Hammer CLI | 3.19.1 / 5.0.1 |
| CVE-2026-56097 | SQL Injection in Registry-Proxy-Labels | 6.5 | Katello | 4.21.2 / 5.0.1 |
| CVE-2026-12542 | Command Injection in foreman-tail | 5.3 | Foreman | 3.19.2 / 5.0.1 |
| CVE-2026-56098 | Autorisierungs-Bypass im Registry Proxy | 4.3 | Katello | 4.21.2 / 5.0.1 |
| CVE-2026-79654 | Fehlende Content-View-Autorisierung in der History-API verrät organisationsübergreifend, was existiert | – | Katello | 5.1 (ausstehend) |
Fazit zu den Foreman Sicherheitslücken
Die gute Nachricht: Für fast alle Lücken stehen bereits Updates bereit. Spiel sie zeitnah ein, vor allem wegen der kritischen Remote Code Execution über den Safemode-Bypass. Falls du Foreman Remote Execution noch in Version 16.7.0 betreibst, wechsle auf 17.2.2 oder 18.0.1, da es für diesen Stand keinen eigenen Fix gibt. Viel Spaß beim Patchen!
