Dolibarr ERP CRM vor 24.0.0: OS-Command-Injection erlaubt authentifizierten Administratoren das Ausführen von Befehlen (CVE-2026-116219)

Was passiert ist

Dolibarr ERP CRM vor 24.0.0 enthält eine OS-Command-Injection-Schwachstelle (CWE-78) im administrativen Exportwerkzeug unter htdocs/admin/tools/export.php. Die Allowlist restrict_os_commands soll einschränken, welche Betriebssystembefehle ein Administrator über die Exportfunktion ausführen kann. Ein authentifizierter Administrator kann jedoch einen mysqldump-Wert übermitteln, der mit &-Zeichen um einen in der Allowlist zugelassenen Basisnamen herum zusätzliche Befehle verkettet. Dadurch wird die Allowlist umgangen, und es werden Betriebssystembefehle als Webserver-Benutzer ausgeführt.

Der Vektor nach CVSS 4.0 bewertet die Schwachstelle mit 8,6 (hoher Schweregrad). Die Schwachstelle ist über das Netzwerk erreichbar, erfordert geringe Angriffskomplexität und keine Benutzerinteraktion, setzt jedoch hohe Privilegien voraus: ein Administratorkonto. Bei erfolgreicher Ausnutzung ergeben sich hohe Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit des Hosts. Im CVE-Eintrag ist weder eine Ausnutzung noch eine öffentliche Offenlegung vermerkt.

Wer betroffen ist

Dolibarr ERP CRM vor 24.0.0. Betroffen ist jede Bereitstellung, die eine Version vor 24.0.0 einsetzt. Dabei handelt es sich um den webbasierten Administrations- und Exportbereich des ERP/CRM-Produkts, der üblicherweise von autorisierten Administratoren verwendet wird.

Was jetzt zu tun ist

1. Aktualisieren Sie auf Dolibarr 24.0.0. Dies ist die einzige aufgeführte korrigierte Version.
2. Solange das Upgrade nicht abgeschlossen ist, beschränken Sie den Zugriff auf die Dolibarr-Administrationsoberfläche auf einen Kreis bekannter und vertrauenswürdiger Administratoren und überprüfen Sie Administratorkonten auf unerwartete Aktivitäten.
3. Überprüfen Sie nach dem Upgrade Serverprozesse und geplante Exportaufträge auf ungewöhnliche Befehle oder Kindprozesse, die als Webserver-Benutzer ausgeführt werden.

Vom Hersteller ist kein Workaround veröffentlicht.

Wie man es erkennt

Vom Hersteller sind keine Kompromittierungsindikatoren veröffentlicht. Da die anfällige Funktion über htdocs/admin/tools/export.php ausgeführt wird und Befehle als Webserver-Benutzer startet, sollten Sie nach administrativen Exportvorgängen auf unerwartete Prozesse achten, die vom Webserver-Benutzer gestartet wurden – insbesondere auf Befehlszeilen, die & um mysqldump herum enthalten.

Über den Patch hinaus

Hierbei handelt es sich um eine authentifizierte administrative Funktion, die zur Ausführung von Befehlen als Webserver-Benutzer führt. Die Dringlichkeit, Sicherheitsupdates einzuspielen, ist daher auch dann hoch, wenn erhöhte Privilegien erforderlich sind. Ein Penetrationstest oder ein Härtungs-Assessment ist der richtige Rahmen, um derartige Injection-Schwachstellen zu finden, bevor sie ausgenutzt werden. Genau dafür stehen die Implementierungs- und Bewertungsleistungen zur Verfügung. Für Unternehmen, die viele ERP/CRM-Instanzen betreiben, ist die Zeit zwischen dem Upstream-Fix und dem eigenen Produktions-Upgrade eine Entscheidung über die Lieferketten-Exposition. Mit dem Angebot Lieferkettenschutz & Drittparteienrisiko unterstützen wir Sie dabei, zu verfolgen, welche Software Sie einsetzen und wie schnell Sicherheitskorrekturen diese erreichen.