Kritische Schwachstelle in Coolify ermöglicht Codeausführung und Datenabfluss

Kurzfassung

In der Open-Source-Plattform Coolify wurde eine kritische Schwachstelle identifiziert, die bei betroffenen Installationen zu Remote Code Execution und zum Abfluss sensibler Umgebungsvariablen führen kann. Das Problem betrifft die Verarbeitung von Deployments und ist nach Angaben der Quelle in Version 4.0.0-beta.469 behoben. Für Unternehmen, die Coolify produktiv einsetzen, ist die Relevanz hoch, da ein erfolgreicher Angriff die Integrität von Anwendungen, Build-Prozessen und möglicherweise auch von Geheimnissen in der Umgebung gefährden kann.

Was ist passiert?

Die gemeldete Schwachstelle betrifft die Art und Weise, wie Coolify Anwendungs-Deployments verarbeitet. Laut Quelle kann ein authentifizierter Angreifer mit Schreibrechten für eine Anwendung eine Befehlsinjektion auslösen. Dadurch ist es möglich, auf dem Zielsystem Befehle auszuführen. Zusätzlich besteht das Risiko, dass sensible Umgebungsvariablen über Deployment-Logs offengelegt werden. Die Schwachstelle ist als kritisch eingestuft und wurde in einer späteren Beta-Version behoben.

Technische Details

Nach den vorliegenden Informationen liegt das Problem in Feldern, die bei Deployments verarbeitet werden, darunter insbesondere Einträge wie dockerfile_location und Deployment-Befehle. Diese Eingaben können offenbar so manipuliert werden, dass sie nicht nur für den vorgesehenen Zweck genutzt werden, sondern auch zur Einschleusung von Kommandos dienen. Das erhöht das Risiko, dass ein Angreifer mit bereits vorhandenem Zugang aus einer begrenzten Berechtigung heraus weitreichendere Kontrolle über die Umgebung erlangt.

Besonders kritisch ist dabei die Kombination aus authentifiziertem Zugriff, Schreibrechten und der Möglichkeit, sensible Daten aus Logs auszulesen. In vielen Umgebungen werden dort Konfigurationsdetails, Tokens oder andere Geheimnisse verarbeitet oder zumindest indirekt referenziert. Wenn solche Daten in falsche Hände geraten, kann das Folgeangriffe auf weitere Systeme erleichtern.

Wer ist betroffen?

Betroffen sind nach der Quellenlage Installationen von Coolify in Versionen vor 4.0.0-beta.469. Für Unternehmen im DACH-Raum ist das vor allem dann relevant, wenn Coolify als Plattform für Self-Hosting, Deployment-Automatisierung oder die Verwaltung interner Anwendungen eingesetzt wird. In solchen Szenarien kann ein erfolgreicher Angriff nicht nur einzelne Anwendungen beeinträchtigen, sondern auch Entwicklungs-, Test- und Produktionsumgebungen gefährden.

Für Privatpersonen ist das Risiko deutlich geringer, da es sich um eine serverseitige Verwaltungsplattform handelt und nicht um ein typisches Consumer-Produkt. Wer Coolify jedoch in privaten Homelabs oder selbst betriebenen Serverumgebungen nutzt, sollte die Schwachstelle ebenfalls ernst nehmen.

Empfohlene Maßnahmen

Die wichtigste Maßnahme ist die Aktualisierung auf die behobene Version 4.0.0-beta.469 oder höher. Betreiber sollten prüfen, ob ihre Instanzen betroffen sind und ob die Aktualisierung ohne Kompatibilitätsprobleme möglich ist. Vor dem Update empfiehlt sich eine Sicherung der Konfiguration und der relevanten Deployments.

Darüber hinaus sollten Zugriffsrechte überprüft und nach dem Prinzip der geringsten Rechte vergeben werden. Insbesondere Benutzer mit Schreibrechten für Anwendungen sollten nur dann entsprechende Berechtigungen erhalten, wenn dies fachlich zwingend erforderlich ist. Zusätzlich ist es sinnvoll, Deployment-Logs auf ungewöhnliche Einträge zu prüfen und potenziell exponierte Geheimnisse wie API-Schlüssel, Tokens oder Umgebungsvariablen zu rotieren, falls ein Missbrauch nicht ausgeschlossen werden kann.

Unternehmen sollten außerdem ihre Monitoring- und Alarmierungsmechanismen schärfen, um ungewöhnliche Deployment-Aktivitäten, unerwartete Prozessstarts oder verdächtige Änderungen an Build-Parametern schnell zu erkennen.

Einschätzung von CyberSecurity-News.de

Aus Sicht von CyberSecurity-News.de ist die Schwachstelle besonders relevant, weil sie nicht auf einen klassischen Fehlkonfigurationsfehler oder einen reinen Denial-of-Service-Effekt hinausläuft, sondern potenziell direkte Systemkompromittierung ermöglicht. Die Tatsache, dass bereits authentifizierte Nutzer mit Schreibrechten ausreichen können, macht das Risiko in realen Unternehmensumgebungen greifbar: Sobald interne Rollenmodelle zu großzügig ausfallen oder mehrere Teams dieselbe Plattform nutzen, steigt die Angriffsfläche erheblich.

Für DACH-Unternehmen ist das Thema vor allem im Kontext von DevOps, interner Plattformverwaltung und Self-Hosting wichtig. Solche Systeme werden häufig als vertrauenswürdig betrachtet und liegen deshalb nicht immer im Fokus klassischer Security-Kontrollen. Genau das macht die Schwachstelle praxisrelevant: Ein Angriff könnte nicht nur Applikationen beeinträchtigen, sondern auch als Einstiegspunkt in weitere interne Ressourcen dienen.

Fazit

CVE-2026-34038 ist eine kritische Coolify-Schwachstelle mit hohem Schadenspotenzial. Betroffene Betreiber sollten umgehend prüfen, ob ihre Instanzen verwundbar sind, und die bereitgestellte Fehlerbehebung einspielen. Besonders wichtig sind dabei die Kontrolle von Berechtigungen, das Absichern von Deployment-Prozessen und der Schutz sensibler Umgebungsvariablen. Für Unternehmen, die Coolify produktiv einsetzen, ist die zeitnahe Reaktion nicht optional, sondern aus Sicherheits- und Betriebsgründen dringend geboten.