Kurzfassung

PingAM ist von der kritischen Schwachstelle CVE-2026-21391 betroffen. Der CVSS-Basiswert liegt bei 9.5 und damit im kritischen Bereich; je nach Konfiguration kann ein präparierter Request geschützte oder beliebige ID-Token-Claims setzen oder überschreiben. Im ungünstigen Fall lassen sich dadurch Authentifizierungsmechanismen umgehen, Identitäten vortäuschen oder Berechtigungen ausweiten.

Was ist passiert?

Bei PingAM wurde eine fehlerhafte Validierung in der Verarbeitung von ID-Token-Claims bekannt. Angreifer können einen speziell gestalteten Request verwenden, um Claims zu manipulieren, die eigentlich geschützt sein sollten.

Das Problem ist heikel, weil solche Claims oft direkt für Identitäts- und Zugriffsentscheidungen genutzt werden. Wenn Anwendungen oder nachgelagerte Systeme diesen Angaben vertrauen, kann daraus eine Anmeldung unter falscher Identität oder eine Rechteausweitung entstehen.

Technische Details

CVE-2026-21391 ist mit CVSS 9.5 nach CVSS 4.0 bewertet. Der Vektor zeigt: Ein Angriff ist über das Netzwerk möglich, die Angriffskomplexität ist gering, es sind keine Berechtigungen und keine Nutzerinteraktion nötig; damit kann grundsätzlich jeder entfernte Angreifer ansetzen, sofern die betroffene Funktion erreichbar ist.

Die Schwachstelle beruht auf unzureichender Prüfung von Request-Inhalten, wodurch sich ID-Token-Claims setzen oder überschreiben lassen. Laut Beschreibung kann das in bestimmten Konfigurationen zum Umgehen von Authentifizierungskontrollen durch Identitätsvortäuschung führen. Mögliche Folgen sind Privilegienausweitung oder das Auftreten als anderer Benutzer.

Wichtig für die Einordnung: Der CVSS-Wert beschreibt die technische Schwere der Lücke, nicht automatisch die tatsächliche Ausnutzung in realen Umgebungen. Ob ein System praktisch angreifbar ist, hängt hier besonders stark von der konkreten PingAM-Konfiguration und der Einbindung in Anwendungen ab.

Wer ist betroffen?

Betroffen ist PingAM. Welche konkreten Versionen verwundbar sind, nennt der NVD-Eintrag nicht.

Relevant ist das vor allem für Unternehmen im DACH-Raum, die PingAM als zentrale Komponente für Single Sign-on, Föderation oder Identitätsverwaltung einsetzen. Besonders kritisch ist die Lage dort, wo Token-Claims direkt für Rollen, Gruppen, Mandantenkontext oder Zugriffsentscheidungen verwendet werden.

Für Privatnutzer spielt die Schwachstelle praktisch keine direkte Rolle, da PingAM typischerweise in Unternehmensumgebungen betrieben wird.

Empfohlene Maßnahmen

Prüfen Sie zuerst, ob PingAM in Ihrer Umgebung eingesetzt wird und welche Systeme ID-Token-Claims aus dieser Instanz verarbeiten. Priorisieren Sie Internet-exponierte Installationen sowie Umgebungen mit angebundenen geschäftskritischen Anwendungen.

Ermitteln Sie anschließend, ob Ihre Konfiguration Claims für Authentifizierungs- oder Autorisierungsentscheidungen verwendet, die sich aus Tokens ableiten. Wo immer möglich, sollten nachgelagerte Anwendungen sensible Entscheidungen nicht allein auf unzureichend validierte Token-Inhalte stützen.

Kontrollieren Sie Logs und Monitoring auf auffällige Authentifizierungsereignisse, insbesondere auf unerwartete Rollenwechsel, ungewöhnliche Claim-Werte, Identitätswechsel und Anmeldungen mit atypischen Berechtigungen. Ergänzen Sie, falls vorhanden, Regeln im SIEM für Anomalien bei Token-Ausstellung und Föderationsflüssen.

Begrenzen Sie bis zur vollständigen Klärung die Erreichbarkeit der betroffenen Dienste. Setzen Sie vorgeschaltete Zugriffskontrollen, Netzwerksegmentierung und wo möglich zusätzliche Prüfungen in Reverse Proxys oder API-Gateways ein, um Angriffsfläche zu reduzieren.

Da kein Hersteller-Advisory mit Patch-Informationen vorliegt, sollten Administratoren die Produktdokumentation und Support-Kanäle des Herstellers aktiv auf Updates, Hotfixes oder Konfigurationshinweise prüfen. Ob bereits ein Patch bereitsteht, ist hier nicht mitgeteilt.

Einschätzung von CyberSecurity-News.de

Die technische Tragweite ist hoch, weil Identitäts- und Zugriffsplattformen eine zentrale Stellung in Unternehmensumgebungen haben. Eine Schwachstelle, die Token-Claims manipulieren kann, ist deutlich gefährlicher als viele isolierte Webfehler, weil sie potenziell auf zahlreiche angebundene Anwendungen durchschlägt.

Die Informationslage bleibt aber lückenhaft. NVD liefert den CVSS-Wert und eine knappe Beschreibung, nennt jedoch keine betroffenen Versionen, keine Hinweise zu Patches und keine Details dazu, welche Konfigurationen besonders anfällig sind. Für Betreiber bedeutet das: hohe Priorität bei der Prüfung, aber noch keine saubere Grundlage für eine präzise Risikoabgrenzung.

Für Unternehmen mit PingAM im produktiven Einsatz ist das Thema ernst und zeitnah zu bearbeiten. Für die meisten Leser ohne PingAM-Bezug ist die Meldung dagegen kaum relevant.

Fazit

Wenn Sie PingAM betreiben, sollten Sie die eigene Umgebung sofort auf betroffene Einsatzszenarien prüfen und tokenbasierte Zugriffsentscheidungen besonders kritisch betrachten. Solange belastbare Herstellerinformationen zu Versionen und Abhilfe fehlen, zählen vor allem Sichtbarkeit, Log-Auswertung und eine möglichst enge Begrenzung der Angriffsfläche.

Quellenangabe

Weiterführende Informationen bietet der NVD-Eintrag zu CVE-2026-21391.