Die Plattform zur Orchestrierung von Workflows Orkes Conductor in den Versionen von 3.21.21 bis 3.30.2 enthält die kritische Schwachstelle CVE-2026-58138 (CVSS v4: 9.3), die einem entfernten Angreifer ohne Authentifizierung erlaubt, beliebige Befehle des Betriebssystems auszuführen. Nach Angaben von Fortinet wird die Schwachstelle aktiv ausgenutzt. Organisationen, die betroffene Versionen einsetzen, müssen umgehend auf Version 3.30.2 aktualisieren oder den externen Zugriff auf die API-Endpunkte von Conductor einschränken.
Mechanismus der Ausnutzung
Die Schwachstelle steht im Zusammenhang mit einer unsicheren Konfiguration der integrierten Expression-Evaluatoren auf Basis von GraalVM. Laut Beschreibung im GitHub Advisory sendet der Angreifer an den Workflow-API-Endpunkt von Conductor speziell präparierte Workflow-Definitionen, die bösartige Ausdrücke in JavaScript oder Python enthalten. Dies geschieht, bevor eine Authentifizierung erfolgt, was die Schwachstelle besonders gefährlich macht.
Die Ursache des Problems liegt darin, dass GraalVM-Evaluatoren mit den Parametern HostAccess.ALL oder allowAllAccess(true) konfiguriert werden können, die einen unbegrenzten Zugriff auf das Host-System gewähren. Über die Aufgabentypen INLINE, LAMBDA, DO_WHILE und SWITCH ist der Angreifer in der Lage, beliebige Systembefehle aufzurufen, indem er den Java-Reflexionsmechanismus oder direkte Aufrufe von Subprozessen nutzt. Die Befehle werden mit den Rechten des Conductor-Prozesses ausgeführt.
Ein wesentlicher Aspekt: Der Angriff erfordert weder Zugangsdaten noch irgendeine Form eines vorherigen Zugriffs auf das System. Es genügt, dass der Workflow-API-Endpunkt über das Netzwerk erreichbar ist – damit wird jede aus dem Internet zugängliche Conductor-Instanz zu einem potenziellen Ziel.
Status der Ausnutzung
Fortinet stuft in seinem FortiRecon-Bericht CVE-2026-58138 als aktiv ausgenutzte Schwachstelle ein. Das Unternehmen berichtet über beobachtete Angriffe, bei denen Angreifer präparierte Workflow-Definitionen mit JavaScript- oder Python-Ausdrücken an Conductor-Server senden.
Es sind jedoch einige wichtige Vorbehalte zu beachten. Die im Originalmaterial von The Hacker News genannten Daten zu Umfang der Angriffe (Anzahl blockierter Versuche, geografische Verteilung) wurden im Rahmen der Verifikation nicht unabhängig bestätigt. Ebenso ließen sich die den Unternehmen Previdian und Empirical Security zugeschriebenen Aussagen nicht anhand unabhängiger Quellen überprüfen. Konkrete Zahlen zur Angriffsaktivität sollten daher mit Vorsicht betrachtet werden.
Gleichzeitig weist Fortinet darauf hin, dass die Ausnutzung von CVE-2026-58138 zum jetzigen Zeitpunkt nicht mit der Aktivität von Erpressungsgruppen oder APT-Gruppierungen in Verbindung steht. Die Schwachstelle ist außerdem nicht im CISA-Katalog Known Exploited Vulnerabilities (KEV) aufgeführt.
Wie die Behebung umgesetzt ist
Die Analyse der Commits im Projekt-Repository zeigt, dass der Fix in Version Conductor 3.30.2 gezielt genau den Primitive beseitigt, der für die Ausnutzung verwendet wird. Die Entwickler haben einen mehrschichtigen Schutz implementiert:
- Verbot des Zugriffs auf sensitive Java-Klassen im JavaScript-Evaluator
- Entfernung des unbegrenzten Host-Zugriffs im Python-Evaluator
- Deaktivierung der Prozess-Erzeugung, des nativen Zugriffs, der Datei- und Netzwerk-Ein-/Ausgabe, des Zugriffs auf Umgebungsvariablen und des Ladens von Host-Klassen in GraalJS
Das Projekt hat außerdem einen speziellen Test testRCEExpressionBlockedForJavascript hinzugefügt, der bestätigt, dass der Fix gegen den konkreten Angriffsvektor mit JavaScript-Ausdrücken zur Remote Code Execution validiert wurde.
Dieser Ansatz der Behebung – das Blockieren konkreter Fähigkeiten des Evaluators statt lediglich das Hinzufügen einer Authentifizierungsprüfung – deutet darauf hin, dass die Entwickler bestrebt waren, das Problem auf Architekturebene zu lösen und nicht nur einen einzelnen Angriffsvektor zu schließen.
Wer ist gefährdet
Die Schwachstelle betrifft Organisationen, die Orkes Conductor in Versionen von 3.21.21 bis 3.30.2 (ohne diese eingeschlossen) einsetzen. Am stärksten gefährdet sind Instanzen, deren Workflow-API aus externen Netzen erreichbar ist. Da der Angriff keine Authentifizierung erfordert, ist jeder offene Conductor-Endpunkt ein potenzieller Eintrittspunkt für die vollständige Übernahme des Servers mit den Rechten des Conductor-Prozesses.
Empfehlungen
- Update: Installieren Sie Conductor in Version 3.30.2 oder neuer – dies hat höchste Priorität.
- Zugriffsbeschränkung: Wenn ein sofortiges Update nicht möglich ist, schließen Sie den externen Zugriff auf die Workflow-API-Endpunkte und platzieren Sie Conductor-Instanzen hinter Mechanismen zur Kontrolle des Netzwerkzugriffs.
- Monitoring: Überwachen Sie verdächtige Übermittlungen von Workflow-Definitionen und unerwartete Befehlsausführungen auf Conductor-Servern.
- Abdeckung bei der Patch-Überprüfung: Stellen Sie bei der Validierung des Fixes sicher, dass beide Ausnutzungspfade blockiert sind – über JavaScript/GraalJS und über den Python-Evaluator, einschließlich Versuchen, Java-Reflexion, Prozesserzeugung und Subprozess-Aufrufe zu nutzen.
Zuvor haben wir bereits Fortinet-Berichte im Kontext anderer Schwachstellen behandelt – etwa im Beitrag zur FortiSandbox-Schwachstelle.
Angesichts der Tatsache, dass Fortinet eine aktive Ausnutzung feststellt, der Angriffsvektor keine Authentifizierung erfordert und die Ausführung beliebiger Betriebssystembefehle ermöglicht, sollten Organisationen mit von außen erreichbaren Conductor-Instanzen das Update auf Version 3.30.2 als Aufgabe mit höchster Priorität betrachten. Ist ein sofortiges Update nicht möglich, müssen die Workflow-API-Endpunkte innerhalb von Stunden, nicht Tagen, vom externen Zugriff isoliert werden.
