🟠 CVE-2026-56784: High Schwachstelle

„`html

Zusammenfassung

CVE-2026-56784 ist eine kritische Insecure Direct Object Reference (IDOR) Schwachstelle in OpenRemote vor Version 1.25.0. Die Lücke befindet sich im Bulk-Alarm-Lösch-Endpoint und ermöglicht es authentifizierten Benutzern, Alarme anderer Mandanten (Tenants) unbefugt zu löschen. Durch die fehlende Realm-Validierung können Angreifer mittels Sequential ID-Enumeration Alarmdatensätze über Tenant-Grenzen hinweg eliminieren.

Betroffene Systeme

Software: OpenRemote
Versionen: Vor 1.25.0
Angriffsvektor: Netzwerk
Authentifizierung erforderlich: Ja (alarm-write Permissions)

Technische Details

Die Vulnerability liegt in der removeAlarms()-Methode der Klasse AlarmResourceImpl.java. Das Sicherheitsproblem entsteht durch unzureichende Realm-Scoping-Validierung in der JPA-Query. Die Methode führt keine Abfrage durch, um zu überprüfen, ob der anfragende Benutzer berechtigt ist, Alarme des angeforderten Tenants zu löschen.

Angreifer mit minimalen alarm-write-Berechtigungen können:

• Sequential Auto-Increment Alarm-IDs enumerieren
• Alarme beliebiger Tenants identifizieren
• Cross-Tenant Alarmdatensätze permanent löschen
• Datenverlust und Geschäftsunterbrechungen verursachen

Empfohlene Massnahmen

Sofortmaßnahmen:

• Upgrade auf OpenRemote 1.25.0 oder höher durchführen
• Zugriffe auf Alarm-Endpoints monitoren und protokollieren
• Alarm-write-Berechtigungen überprüfen und reduzieren
• Backup-Strategien für kritische Alarmdaten implementieren

Langfristig: Code-Review aller Multi-Tenant-Endpoints mit besonderem Focus auf Authorization-Logic durchführen.

Bewertung

CVSS v3.1 Score: 8.1 (High)
Patch-Status: Nicht verfügbar
Kritikalität: Erhöht – Datenintegrität und Verfügbarkeit sind betroffen

„`