🟠 CVE-2026-63094: High Schwachstelle

„`html

Zusammenfassung

Eine kritische Open-Redirect-Schwachstelle wurde in SigNoz bis Version 0.133.0 identifiziert. Die Anfälligkeit ermöglicht es unauthentifizierten Angreifern, Sitzungs-Token von Benutzern zu stehlen, die SSO-Authentifizierung (Single Sign-On) via Google OAuth, SAML oder OIDC nutzen. Der CVSS-Score von 8.1 klassifiziert diese Schwachstelle als hochgradig kritisch.

Betroffene Systeme

• SigNoz Version 0.133.0 und frühere Versionen
• Installationen mit aktivierter Google OAuth-Integration
• Systeme mit konfigurierter SAML-Authentifizierung
• Deployments mit OIDC-Provider-Integration

Technische Details

Die Schwachstelle existiert im unauthentifizierten Sitzungs-Kontext-Endpunkt. Angreifer können den sogenannten ref-Parameter manipulieren und auf eine attacker-kontrollierte Domain verweisen. Dies erzeugt eine legitim wirkende Login-URL, die an Opfer versendet wird.

Beim Abschluss der SSO-Authentifizierung werden die generierten Access- und Refresh-Token zum attacker-kontrollierten Server weitergeleitet, wo diese kompromittiert werden. Dies ermöglicht vollständigen Account-Zugriff ohne legitime Credentials.

Angriffsablauf:

1. Angreifer ruft den Sessions-Endpunkt mit manipuliertem ref-Parameter auf
2. SigNoz generiert Authentifizierungs-URL mit attacker-Redirect
3. Phishing-URL wird an Opfer versendet
4. Opfer authentifiziert sich über legitimen SSO-Provider
5. Tokens werden zu attacker-Server weitergeleitet

Empfohlene Massnahmen

• Sofort: Überprüfung auf erfolgte Kompromittierungen in Access-Logs
• Token-Rotation aller Benutzer durchführen
• IP-basierte Zugriffsbeschränkungen für Admin-Accounts implementieren
• Netzwerk-Segmentierung zur Isolation von SigNoz-Instanzen
• Monitoring von ungewöhnlichen Login-Mustern aktivieren
• Aktualisierung auf gepatchte Version durchführen (sobald verfügbar)

Bewertung

Schweregrad: High (CVSS 8.1)

Angriffsvektor: Netzwerk

Authentifizierung erforderlich: Nein

Patch-Status: Nicht verfügbar

Diese Schwachstelle erfordert unmittelbare Aufmerksamkeit, da kein offizieller Patch vorliegt und die Anfälligkeit vollständigen Zugriff auf Benutzeraccounts erm