Zwei ungepatchte Schwachstellen im Kaltura-Player legen Dateien offen und ermöglichen Codeausführung auf gemeinsam genutzten Servern

Die Offenlegung und der Zeitplan der Kontaktversuche

CERT/CC hat zwei nicht behobene Schwachstellen in der HTML5-Videoplayer-Bibliothek von Kaltura bekannt gegeben, die auch als html5lib verbreitet wird. Beide betreffen den Endpoint mwEmbedLoader.php und resultieren aus unsicherer Deserialisierung. Sie ermöglichen einem entfernten, nicht authentifizierten Angreifer, beliebige Dateien vom Server zu lesen und Code auszuführen. Die Schwachstellen sind als CVE-2026-19913 (Dateilesen) und CVE-2026-19912 (Codeausführung) identifiziert.

Der Forscher Gerjan Wemekamp, bekannt als AndDone, hat vor der öffentlichen Offenlegung wiederholt versucht, Kaltura zu kontaktieren. Der erste Bericht wurde am 23. März 2026 an einen Sicherheitskontakt des Anbieters gesendet; er wurde am 13. April von einer Unternehmensadresse erneut gesendet. Am 23. Mai kontaktierte der Forscher den CISO von Kaltura über LinkedIn und eskalierte dann am 2. Juli über ein nationales CERT. CERT/CC benachrichtigte Kaltura am 8. Juli. Der Status des Anbieters für beide CVEs blieb „Unbekannt“: Es ging keine Stellungnahme ein und es existiert kein Patch. Die security.txt von Kaltura, aktualisiert am 28. Mai 2024, verweist auf HackerOne und [email protected], aber die Quellen geben nicht an, welcher Kanal für die ersten Berichte verwendet wurde.

Wie die beiden Schwachstellen funktionieren

Die erste, CVE-2026-19913, nutzt den Parameter ServiceUrl. Dieser Parameter wird als Ziel-URL für Backend-API-Anfragen des PHP-Clients KalturaClientBase verwendet. Der zurückgegebene Inhalt wird ohne jegliche Validierung von Herkunft, Schema oder Inhalt an unserialize() übergeben. Mithilfe des Schemas file:// kann ein Angreifer den Server dazu verleiten, eine lokale Datei zu lesen: Die Deserialisierung schlägt fehl und die rohen Bytes der Datei werden in der Fehlermeldung an den Anfragenden zurückgespiegelt. Wemekamp nutzte diese Technik, um /opt/kaltura/app/configurations/local.ini zu lesen, eine Datei, die Datenbank-Anmeldedaten, Admin- und Konsolenpasswörter sowie Verweise auf interne Hosts enthält.

Die zweite, CVE-2026-19912, zielt auf das Schreiben auf die Festplatte. Der Parameter uiconf_id wird ohne Bereinigung an den Pfad des Cache-Ordners angehängt. Durch Angabe von Werten mit Pfadtraversierungssequenzen (../) wird der Schreibvorgang aus dem Cache heraus in ein über das Web erreichbares Verzeichnis verlagert. Indem ServiceUrl auf ein bösartig serialisiertes Objekt mit ausführbarem PHP-Code gesetzt wird, kann ein Angreifer erreichen, dass die geschriebene Datei anschließend angefordert und als Webserver-Benutzer ausgeführt wird. Die RCE-Kette hängt vom dateibasierten Cache-Backend ab, das bei Kaltura standardmäßig aktiv ist; eine Konfiguration mit ausschließlich memcache kann das Schreiben unterdrücken, macht das Deployment jedoch nicht sicher, da das Dateilesen über CVE-2026-19913 weiterhin möglich bleibt.

Der Forscher gibt an, das vollständige Ablegen einer Webshell auf dem Kaltura-Server-Docker-Image von 2019 demonstriert zu haben. Auf der aktuellen Version hat er überprüft, dass beide Hälften der Kette vorhanden sind und die Deserialisierung weiterhin ausgeführt wird.

Betroffene Versionen und Verbreitung auf gemeinsam genutzten Hosts

CERT/CC nennt als betroffen html5lib v2.45, v2.103 und frühere Versionen sowie weitere Releases der v2.x-Reihe, die den Endpoint mwEmbedLoader.php exponieren. Die Datei deployment/uiconf/KalturaClientBase.php, die den Aufruf von unserialize() und die Fehlerreflexion enthält, ist byte-identisch in 21 Release-Refs: von Jupiter-10.9.0 (Commit vom 27. April 2015) bis West-23.5.0 (Commit vom 13. August 2026). Der anfällige Aufruf erscheint bereits in einem Ref vom 10. März 2014. Die Überprüfung wurde von The Hacker News am 25. August 2026 im öffentlichen Repository des Kaltura-Servers durchgeführt.

Der Endpoint ist sowohl auf Kundeninstallationen als auch auf gemeinsam genutzten Produktions-Hosts von Kaltura vorhanden. Da es sich um eine mandantenfähige CDN-Infrastruktur handelt, betrifft die Exposition alle Mandanten, die von diesen Hosts bedient werden: Ein einzelner kompromittierter Host kann Daten und Anwendungen mehrerer Organisationen gefährden.

Auswirkungen und Schweregrad

Ein entfernter, nicht authentifizierter Angreifer kann vertrauliche Dateien lesen und Codeausführung erlangen, ohne Kaltura-Session-Tokens oder Anmeldedaten zu benötigen. Zu den potenziell exfiltrierten Daten gehören Datenbank-Verbindungszeichenfolgen, Admin- und Konsolenpasswörter, Partner-Geheimnisse und API-Schlüssel. Auf gemeinsam genutzten Hosts erstreckt sich der Umfang der Auswirkungen auf alle Mandanten.

Der Forscher vergibt einen CVSS von 10,0 für CVE-2026-19912 und 9,1 für CVE-2026-19913. Die offiziell registrierte Bewertung für CVE-2026-19913 beträgt 7,5. Für CVE-2026-19912 wurde noch keine offizielle Bewertung veröffentlicht. CERT/CC hat keine eigenen Bewertungen verbreitet, und am 25. August 2026 existierten keine NVD-Einträge für die beiden CVEs.

Sofortige Gegenmaßnahmen

In Ermangelung eines Patches können Betreiber von Kaltura- oder html5lib-Installationen verschiedene Gegenmaßnahmen ergreifen. Die erste besteht darin, den Endpoint mwEmbedLoader.php per WAF, Reverse-Proxy oder CDN zu blockieren oder zu entfernen, insbesondere dort, wo ältere mwEmbed-Player nicht mehr ausgeliefert werden. Es ist möglich, eine Positivliste für den Parameter ServiceUrl anzuwenden, die nur den API-Host des eigenen Deployments zulässt und Schemata außer HTTP(S) ablehnt. Für uiconf_id sollten Werte mit Pfadtraversierungssequenzen, absoluten Pfaden oder Verzeichnistrennzeichen abgelehnt werden. Außerdem empfiehlt es sich, die Ausführung von PHP in den Cache-Verzeichnissen zu verweigern und den ausgehenden Netzwerkzugriff des Anwendungsservers einzuschränken, der zum Herunterladen der Nutzlast erforderlich ist.

Wenn der Endpoint exponiert war, müssen schließlich alle in local.ini enthaltenen Daten rotiert werden: Datenbank-Anmeldedaten, Admin- und Konsolenpasswörter, Partner-Geheimnisse und API-Schlüssel.

Patch-Status und frühere Vorfälle

Am 25. August 2026 waren keine aktiven Ausnutzungen bekannt und keine der beiden CVEs war im KEV-Katalog der CISA enthalten. Das Fehlen im KEV verringert jedoch nicht die Schwere: Es handelt sich um ohne Authentifizierung ausnutzbare Schwachstellen mit direkter Auswirkung auf Daten und Code.

Kaltura hatte in der Vergangenheit bereits mit unsicheren Deserialisierungen zu tun. Im August 2017 lieferte der Anbieter einen Commit, der drei unsichere Aufrufe entfernte, bevor ein Advisory von Telekom Security zu drei Schwachstellen erschien, die in Release 13.2.0 behoben wurden. Dieser Commit betraf drei Dateien, von denen keine KalturaClientBase.php war: Der aktuell anfällige Code blieb über Jahre unverändert. Der Fall reiht sich in einen größeren Kontext ein: Im Juli war auch Fastjson 1.x Ziel von Angriffen mit einer fehlerhaften Deserialisierung, für die es keinen Fix für die 1.x-Serie gibt. NIST erklärte im April, dass nicht mehr jede CVE angereichert wird, wobei KEV, Software der Bundesregierung und kritische Software gemäß EO 14028 priorisiert werden, was die Verfügbarkeit offizieller Bewertungen für Schwachstellen wie diese verzögern kann.