„`html
Zusammenfassung
Die Schwachstelle CVE-2026-18452 betrifft DMS+ (Non-Mobile) des Herstellers Rich Source und wird als kritisch eingestuft (CVSS 10.0). Es handelt sich um eine Hardcoded-Credentials-Vulnerabilität, die es unauthentizierten Angreifern ermöglicht, sich über einen fixen API-Schlüssel Zugriff auf alle installierten DMS+-Systeme zu verschaffen.
Betroffene Systeme
Die Schwachstelle betrifft mehrere Versionen von DMS+ (Non-Mobile) von Rich Source. Ein Patch ist derzeit nicht verfügbar. Organisationen, die dieses System einsetzen, sind unmittelbar gefährdet.
Technische Details
Das zentrale Problem liegt in der Verwendung eines hartcodierten API-Keys innerhalb der Anwendung. Dieser Schlüssel ist nicht eindeutig pro Installation und wird in den Anwendungsbinären oder Konfigurationsdateien als Konstante hinterlegt. Ein Angreifer kann diesen Schlüssel durch Reverse-Engineering extrahieren und anschließend über das Netzwerk verwenden, um sich gegenüber dem DMS+-System zu authentifizieren.
Durch die Authentifizierung mit dem API-Key erhält der Angreifer volle administrative Kontrolle über die betroffenen Geräte. Dies ermöglicht unter anderem das Auslesen von Daten, die Modifizierung von Konfigurationen und das Ausführen beliebiger Operationen innerhalb des Systems. Der Angriffsvektor ist netzwerkbasiert, was bedeutet, dass eine Fernausnutzung ohne physischen Zugang möglich ist.
Empfohlene Massnahmen
- Sofortmassnahme: Betroffene DMS+-Systeme vom Netzwerk isolieren oder hinter eine Web Application Firewall platzieren
- Monitoring: API-Anfragen auf verdächtige Muster analysieren
- Hersteller-Kontakt: Rich Source bzgl. Patch-VerfĂĽgbarkeit kontaktieren
- Netzwerk-Segmentierung: DMS+-Geräte in separaten Netzwerk-Zonen betreiben
- Alternative: Migration zu alternativen Dokumentenmanagementsystemen evaluieren
Bewertung
Mit einem CVSS-Score von 10.0 und fehlender Patch-Verfügbarkeit stellt diese Schwachstelle ein maximales Risiko dar. Die Kombination aus Netzwerk-Erreichbarkeit, fehlender Authentifizierung und vollständiger Systemkontrolle erfordert sofortiges Handeln betroffener Organisationen.
„`