Kurzfassung

Ajenti hat mit Version 2.2.16 eine kritische Schwachstelle geschlossen, über die angemeldete Benutzer ohne Plugin-Verwaltungsrechte bis auf Root-Ebene eskalieren können. Betroffen sind Ajenti-Installationen vor Version 2.2.16. Die NVD führt CVE-2026-79920 mit CVSS 9.9, kritisch.

Was ist passiert?

Die Schwachstelle steckt in der Aufgabenverwaltung von Ajenti. Ein authentifizierter Benutzer kann über den Endpunkt /api/core/tasks/start Aufgaben zum Installieren, Entfernen oder Aktualisieren von Plugins anstoßen, obwohl ihm dafür die nötige Berechtigung fehlt.

Das Problem wird besonders brisant, weil die betroffenen Aufgaben Paketangaben aus Benutzereingaben zusammensetzen und anschließend Paketoperationen mit Root-Rechten ausführen. Damit lässt sich die Grenze zwischen einem normalen Benutzerkonto und vollständiger Systemkontrolle überspringen.

Technische Details

Betroffen ist laut NVD die Verarbeitung der Aufgaben InstallPlugin, UnInstallPlugin und UpgradeAll in Ajenti vor Version 2.2.16. Die Paketangaben werden aus den Feldern für Namen und Version gebildet, ohne dass diese Eingaben ausreichend abgesichert werden; der Task-Worker ruft danach Paketoperationen als Root auf.

Dadurch kann ein Benutzer mit niedrigen Rechten Pakete auswählen oder beeinflussen, die mit Root-Rechten installiert, entfernt oder aktualisiert werden. Das Ergebnis ist Root-Codeausführung und damit die vollständige Übernahme des betroffenen Hosts.

Der CVSS-Basiswert liegt bei 9.9 von 10 (CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H). Das bedeutet: Der Angriff ist über das Netzwerk möglich, die Hürde ist gering, es genügt ein Konto mit niedrigen Rechten, und ein weiteres Zutun eines Opfers ist nicht nötig. Der Wert beschreibt die technische Schwere der Schwachstelle, nicht automatisch eine bereits laufende Ausnutzung in freier Wildbahn.

Wer ist betroffen?

Betroffen sind Ajenti-Installationen vor Version 2.2.16 auf Linux- und BSD-Systemen. Voraussetzung für den Angriff ist ein gültiger Zugang zu Ajenti, selbst wenn dieser Benutzer eigentlich keine Administrationsrechte für die Plugin-Verwaltung besitzen sollte.

Für Unternehmen im DACH-Raum ist das vor allem dort relevant, wo Ajenti als schlankes Web-Panel für interne Server, virtuelle Maschinen, Entwicklungsumgebungen oder Hosting-Systeme eingesetzt wird. Besonders kritisch ist die Lage, wenn mehrere Benutzerkonten existieren, externe Dienstleister Zugriff haben oder das Panel direkt aus dem Internet erreichbar ist.

Empfohlene Maßnahmen

Erstens: Aktualisieren Sie Ajenti umgehend auf Version 2.2.16 oder neuer. Ohne Update bleibt das Risiko einer vollständigen Systemübernahme durch bereits angemeldete Benutzer bestehen.

Zweitens: Prüfen Sie sofort, welche Konten Zugriff auf Ajenti haben. Entfernen Sie nicht mehr benötigte Benutzer, deaktivieren Sie gemeinsam genutzte Konten und erzwingen Sie neue Zugangsdaten, wenn unklar ist, wer zuletzt Zugriff hatte.

Drittens: Beschränken Sie den Netzwerkzugang auf das Admin-Panel. Falls Ajenti öffentlich erreichbar ist, sollten Sie den Zugriff mindestens auf Administrationsnetze, VPN oder Jump-Hosts eingrenzen.

Viertens: Kontrollieren Sie betroffene Systeme auf unerwartete Paketinstallationen, Plugin-Änderungen und verdächtige Root-Aktivitäten. Relevant sind insbesondere Protokolle rund um Plugin-Operationen, Prozessstarts von Paketwerkzeugen und Änderungen an Systemdiensten.

Fünftens: Wenn ein System von mehreren Benutzern verwaltet wurde oder Kompromittierungsverdacht besteht, behandeln Sie den Host wie potenziell übernommen. Dann reichen Passwortwechsel allein nicht aus; prüfen Sie Persistenzmechanismen, Schlüsselmaterial, Cronjobs, Dienste und gegebenenfalls eine Neuaufsetzung.

Einschätzung von CyberSecurity-News.de

Die technische Tragweite ist hoch, weil hier kein lokaler Sonderfall vorliegt, sondern eine Rechteausweitung über das Administrationspanel selbst. Wer Ajenti produktiv mit mehreren Konten betreibt, muss die Lücke ernst nehmen: Ein gewöhnlicher Zugang kann genügen, um den gesamten Server zu übernehmen.

Die Informationslage ist in den Kernpunkten ausreichend: betroffen sind Versionen vor 2.2.16, und das Risiko ist klar benannt. Was fehlt, sind weitergehende Details dazu, ob Angriffe bereits beobachtet wurden oder welche konkreten Erkennungsmerkmale Administratoren in Logs priorisieren sollten. Für die meisten Umgebungen ist das kein Massenrisiko wie bei unauthentifizierten Internet-Schwachstellen, aber für betroffene Ajenti-Installationen mit mehreren Benutzern ist die Priorität klar hoch.

Fazit

Wenn Sie Ajenti einsetzen, sollten Sie Versionen vor 2.2.16 sofort aktualisieren und den Zugriff auf das Panel überprüfen. Entscheidend ist nicht nur das Update, sondern auch die Frage, ob bereits Benutzerkonten mit niedrigen Rechten vorhanden waren und missbraucht worden sein könnten.

Quellenangabe

Weiterführende technische Informationen bietet der NVD-Eintrag zu CVE-2026-79920.