🟠 CVE-2026-45745: High Schwachstelle

„`html

Zusammenfassung

Die Sicherheitslücke CVE-2026-45745 betrifft Termix Desktop, eine Electron-basierte Anwendung zur webgestützten Serververwaltung. Ab Version 1.7.0 deaktiviert die Anwendung die TLS-Zertifikatvalidierung, was Man-in-the-Middle-Angriffen (MitM) Tür und Tor öffnet. Angreifer können dadurch HTTPS-Traffic zum Termix-Server abfangen und manipulieren.

Betroffene Systeme

Termix Desktop (Electron) ab Version 1.7.0 ist vulnerabel. Die genaue Anzahl betroffener Installationen ist unbekannt. Es liegen zum Zeitpunkt der Veröffentlichung keine gepatchten Versionen vor.

Technische Details

Die Schwachstelle liegt in der fehlerhaften TLS-Zertifikatvalidierung der Electron-Anwendung. Normalerweise validiert ein HTTPS-Client die Zertifikate des Servers zur Authentifizierung und zum Aufbau einer verschlüsselten Verbindung.

Mit deaktivierter Validierung können Angreifer im selben Netzwerk oder mit Zugriff auf den Netzwerkverkehr (ARP-Spoofing, DNS-Hijacking) selbstsignierte oder beliebige Zertifikate präsentieren. Die Anwendung akzeptiert diese ohne Überprüfung.

Dies ermöglicht das Abfangen sensibler Daten:

• Benutzernamen und Passwörter während des Login-Vorgangs
• JWT-Token und Session-IDs
• SSH-Schlüssel und weitere Authentifizierungsdaten
• Terminal-Sessions und Dateiinhalte

Empfohlene Massnahmen

Interim-Maßnahmen:

• Vermeidung von öffentlichen oder unsicheren Netzwerken (öffentliches WLAN)
• Verwendung von VPN-Verbindungen bei Remote-Zugriff
• Netzwerk-Monitoring zur Erkennung von MitM-Aktivitäten
• Regelmäßige Überprüfung von Session-Aktivitäten auf anomale Zugriffe

Langfristig:

• Überwachung von Termix-Sicherheitsupdates und Patches
• Migration zu gepatchten Versionen sobald verfügbar
• Evaluierung alternativer Server-Management-Tools mit robusterer Sicherheit

Bewertung

Mit einem CVSS-Score von 8.0 (High) stellt diese Lücke eine erhebliche Bedrohung dar. Die Abfangbarkeit von Anmeldedaten und Session-Tokens macht dies zu einer kritischen Sicherheitslücke für Organisationen, die Termix einsetzen. Die fehlende Verfügbarkeit von Patches verschärft die Situation zusätzlich.

„`