« Volver al listado

CVE-2026-107336

Estado: Pendiente de análisisMedia (6.5)—

El proxy inverso nginx frontal de Malcolm define una location "Dashboards → Arkime shortcut" usando un comparador de expresión regular que no distingue mayúsculas y minúsculas pero una reescritura que sí las distingue. Una solicitud cuyo segmento de ruta no esté exactamente en minúsculas (por ejemplo /IDDASH2ARK/...) entra en la location (el comparador se activa) pero evita la reescritura (no se emite ninguna redirección), por lo que nginx pasa al proxy_pass de la location hacia el backend de Arkime.

Leer descripción completaMostrar menos

Esa location es la única location con proxy de la configuración distribuida que no incluye el archivo de autenticación por location, por lo que la solicitud llega a Arkime sin autenticar. La misma location también reenvía sin sobrescribir una cabecera X-Forwarded-User proporcionada por el cliente, y Arkime está configurado para confiar en X-Forwarded-User como nombre de usuario autenticado, de modo que un llamante de red no autenticado puede llegar al backend de Arkime proporcionando una identidad falsificada y aprovisionada automáticamente.

Traducción automática del texto original de NVD (en inglés).

CVSS

Probabilidad de explotación (EPSS)

EPSS (Exploit Prediction Scoring System, de FIRST) estima la probabilidad de que una vulnerabilidad sea explotada en 30 días. Complementa a CVSS (impacto) y a CISA KEV (explotación confirmada).

🎯 Técnicas ATT&CK

Cómo se explota esta vulnerabilidad y qué consigue el atacante, en el lenguaje de MITRE ATT&CK.

Vector CVSS AV:N/AC:L/PR:N indica explotación remota sin privilegios (T1190). Omisión de autenticación por regex case-insensitive permite acceso no autenticado con identidad falsa (T1078) y exposición de datos del backend Arkime (T1552) mediante proxy sin control de acceso.

Inferido por nuestro agente de análisis a partir de la descripción oficial, el vector CVSS y la CWE, y comprobado por un supervisor. Puede contener errores.

🛡️ Mitigaciones ATT&CK que cubren estas técnicas

Privileged Account ManagementActive Directory ConfigurationUser TrainingPassword PoliciesLimit Access to Resource Over NetworkFilter Network Traffic

Tecnologías afectadas (2)

⚠ Inferidas por IA a partir de la descripción — NVD aún no ha analizado esta CVE; no son CPE verificados.

Arkime — ArkimeAIMalcolm — MalcolmAI

CWE

Referencias

JSON original (NVD)

Mostrar
{
  "id": "CVE-2026-107336",
  "cveTags": [],
  "metrics": {
    "ssvcV203": [
      {
        "source": "134c704f-9b21-4f2e-91b3-4a467353bcc0",
        "ssvcData": {
          "id": "CVE-2026-107336",
          "role": "CISA Coordinator",
          "options": [
            {
              "exploitation": "none"
            },
            {
              "automatable": "yes"
            },
            {
              "technicalImpact": "partial"
            }
          ],
          "version": "2.0.3",
          "timestamp": "2026-10-08T19:07:14.526487Z"
        }
      }
    ],
    "cvssMetricV31": [
      {
        "type": "Secondary",
        "source": "ics-cert@hq.dhs.gov",
        "cvssData": {
          "scope": "UNCHANGED",
          "version": "3.1",
          "baseScore": 6.5,
          "attackVector": "NETWORK",
          "baseSeverity": "MEDIUM",
          "vectorString": "CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N",
          "integrityImpact": "LOW",
          "userInteraction": "NONE",
          "attackComplexity": "LOW",
          "availabilityImpact": "NONE",
          "privilegesRequired": "NONE",
          "confidentialityImpact": "LOW"
        },
        "impactScore": 2.5,
        "exploitabilityScore": 3.9
      }
    ]
  },
  "affected": [
    {
      "source": "ics-cert@hq.dhs.gov",
      "affectedData": [
        {
          "vendor": "CISA",
          "product": "Malcolm",
          "versions": [
            {
              "status": "affected",
              "version": "0",
              "versionType": "custom",
              "lessThanOrEqual": "26.07.1"
            },
            {
              "status": "unaffected",
              "version": "26.08.0"
            }
          ],
          "defaultStatus": "unaffected"
        }
      ]
    }
  ],
  "published": "2026-10-08T18:17:20.177",
  "references": [
    {
      "url": "https://github.com/cisagov/CSAF/blob/develop/csaf_files/OT/white/2026/icsa-26-280-01.json",
      "source": "ics-cert@hq.dhs.gov"
    },
    {
      "url": "https://github.com/cisagov/Malcolm/security/advisories/GHSA-7j32-cf27-cp6h",
      "source": "ics-cert@hq.dhs.gov"
    }
  ],
  "vulnStatus": "Awaiting Analysis",
  "weaknesses": [
    {
      "type": "Secondary",
      "source": "ics-cert@hq.dhs.gov",
      "description": [
        {
          "lang": "en",
          "value": "CWE-290"
        },
        {
          "lang": "en",
          "value": "CWE-441"
        },
        {
          "lang": "en",
          "value": "CWE-863"
        }
      ]
    }
  ],
  "descriptions": [
    {
      "lang": "en",
      "value": "Malcolm's front nginx reverse proxy defines a \"Dashboards → Arkime shortcut\" location using a case-insensitive regex matcher but a case-sensitive rewrite. A request whose path segment is not exact-lowercase (for example /IDDASH2ARK/...) enters the location (the matcher fires) but evades the rewrite (no redirect is issued), so nginx falls through to the location's proxy_pass to the Arkime backend. That location is the one proxied location in the shipped config that does not include the per-location authentication file, so the request reaches Arkime unauthenticated. The same location also forwards a client-supplied X-Forwarded-User header un-overwritten, and Arkime is configured to trust X-Forwarded-User as the authenticated username — so an unauthenticated network caller can reach the Arkime backend while supplying a forged, auto-provisioned identity."
    }
  ],
  "lastModified": "2026-10-08T21:03:43.847",
  "sourceIdentifier": "ics-cert@hq.dhs.gov"
}