Snipe-IT vor Version 8.6.0: Update schließt Lücke bei Geräteanforderungen

Für kleine und mittlere Unternehmen, die ihre Geräte mit Snipe-IT verwalten, kann die Schwachstelle einen wichtigen Arbeitsablauf beeinträchtigen: In Versionen vor 8.6.0 können angemeldete Benutzer mit geringen Rechten ausstehende Geräteanforderungen anderer Personen stornieren. Wer Snipe-IT selbst betreibt, sollte deshalb die installierte Version prüfen und ein Update vorbereiten.

Fehlende Berechtigungsprüfung beim Stornieren

Die Schwachstelle ist unter der Kennung CVE-2026-19579 dokumentiert. Durch manipulierte Anfragen kann ein angemeldeter Benutzer mit geringen Rechten die ausstehende Geräteanforderung eines anderen Benutzers stornieren.

Solche unberechtigten Stornierungen können die geplante Ausgabe von Geräten behindern und zusätzlichen Abstimmungsaufwand verursachen. Die veröffentlichte Beschreibung beschränkt sich auf das Stornieren von Anforderungen. Weitergehende Auswirkungen sollten ohne zusätzliche Prüfung nicht daraus abgeleitet werden.

Korrektur in Version 8.6.0

Tenable veröffentlichte den Hinweis am 11. August 2026. JVN iPedia nahm die Schwachstelle am 24. August 2026 in seine Datenbank auf. Beide Quellen nennen Snipe-IT-Versionen vor 8.6.0 als betroffen und Version 8.6.0 als behoben.

Der Vergleich des offiziellen Quellcodes zeigt für Version 8.6.0 außerdem eine zusätzliche serverseitige Kontrolle: Bevor die Anforderung eines anderen Benutzers storniert werden darf, prüft die Anwendung die dafür notwendige administrative Berechtigung.

Quellen:

• Tenable Advisory TRA-2026-54
• JVN iPedia: CVE-2026-19579

Das Update verlässlich vorbereiten

1. Installierte Version prüfen: Stellen Sie fest, ob eine Snipe-IT-Version vor 8.6.0 eingesetzt wird. Berücksichtigen Sie dabei auch Testsysteme und ältere Installationen, die noch erreichbar sind.
2. Datensicherung anlegen: Sichern Sie vor dem Update die Datenbank, die Anwendungskonfiguration und alle weiteren Bestandteile, die für eine Wiederherstellung benötigt werden. Der Wiederherstellungsweg sollte bekannt und dokumentiert sein.
3. Aktualisierung planen: Installieren Sie nach den offiziellen Hinweisen des Herstellers mindestens Version 8.6.0. Prüfen Sie vorher, ob Abhängigkeiten oder individuelle Anpassungen berücksichtigt werden müssen.
4. Wichtige Abläufe testen: Kontrollieren Sie nach dem Update insbesondere die Anmeldung, Geräteanforderungen, berechtigte Stornierungen und die üblichen Abläufe der Inventarverwaltung.
5. Vorgänge nachverfolgen: Sehen Sie ausstehende und kürzlich stornierte Anforderungen auf Auffälligkeiten durch. Falls geeignete Protokolle vorhanden sind, sollten diese ebenfalls geprüft werden.
6. Zugriff vorübergehend begrenzen: Lässt sich das Update nicht sofort einspielen, sollte der Zugriff auf die tatsächlich benötigten Benutzer und Netze beschränkt werden. Das ersetzt die Aktualisierung nicht, kann die erreichbare Angriffsfläche aber verkleinern.

Unterstützung aus Husum

Wir unterstützen kleine und mittlere Unternehmen bei der Bestandsaufnahme, der Vorbereitung einer geeigneten Datensicherung und der kontrollierten Aktualisierung selbst betriebener Serveranwendungen. Dazu können eine abgestimmte Updateplanung, die Prüfung von Berechtigungen und eine Funktionskontrolle nach der Aktualisierung gehören.

Als IT-Partner aus Husum arbeiten wir mit festen Ansprechpartnern, per Fernwartung und nach Absprache auch vor Ort. Wenn Sie prüfen möchten, ob Ihre Snipe-IT-Installation betroffen ist und wie sich das Update sicher vorbereiten lässt, sprechen Sie uns an.