„`html
Zusammenfassung
Die Sicherheitslücke CVE-2026-45745 betrifft Termix Desktop, eine Electron-basierte Anwendung zur webgestützten Serververwaltung. Ab Version 1.7.0 deaktiviert die Anwendung die TLS-Zertifikatvalidierung, was Man-in-the-Middle-Angriffen (MitM) Tür und Tor öffnet. Angreifer können dadurch HTTPS-Traffic zum Termix-Server abfangen und manipulieren.
Betroffene Systeme
Termix Desktop (Electron) ab Version 1.7.0 ist vulnerabel. Die genaue Anzahl betroffener Installationen ist unbekannt. Es liegen zum Zeitpunkt der Veröffentlichung keine gepatchten Versionen vor.
Technische Details
Die Schwachstelle liegt in der fehlerhaften TLS-Zertifikatvalidierung der Electron-Anwendung. Normalerweise validiert ein HTTPS-Client die Zertifikate des Servers zur Authentifizierung und zum Aufbau einer verschlĂĽsselten Verbindung.
Mit deaktivierter Validierung können Angreifer im selben Netzwerk oder mit Zugriff auf den Netzwerkverkehr (ARP-Spoofing, DNS-Hijacking) selbstsignierte oder beliebige Zertifikate präsentieren. Die Anwendung akzeptiert diese ohne Überprüfung.
Dies ermöglicht das Abfangen sensibler Daten:
- Benutzernamen und Passwörter während des Login-Vorgangs
- JWT-Token und Session-IDs
- SSH-SchlĂĽssel und weitere Authentifizierungsdaten
- Terminal-Sessions und Dateiinhalte
Empfohlene Massnahmen
Interim-MaĂźnahmen:
- Vermeidung von öffentlichen oder unsicheren Netzwerken (öffentliches WLAN)
- Verwendung von VPN-Verbindungen bei Remote-Zugriff
- Netzwerk-Monitoring zur Erkennung von MitM-Aktivitäten
- Regelmäßige Überprüfung von Session-Aktivitäten auf anomale Zugriffe
Langfristig:
- Ăśberwachung von Termix-Sicherheitsupdates und Patches
- Migration zu gepatchten Versionen sobald verfĂĽgbar
- Evaluierung alternativer Server-Management-Tools mit robusterer Sicherheit
Bewertung
Mit einem CVSS-Score von 8.0 (High) stellt diese Lücke eine erhebliche Bedrohung dar. Die Abfangbarkeit von Anmeldedaten und Session-Tokens macht dies zu einer kritischen Sicherheitslücke für Organisationen, die Termix einsetzen. Die fehlende Verfügbarkeit von Patches verschärft die Situation zusätzlich.
„`