🟡 CVE-2026-63095: Medium Schwachstelle

„`html

Zusammenfassung

CVE-2026-63095 beschreibt eine Autorisierungsschwachstelle in Dendrite bis Version 0.13.8. Die Sicherheitslücke ermöglicht authentifizierten lokalen Benutzern, Drittanbieter-Identifikatorbindungen (Third-Party Identifier Bindings) anderer Benutzer ohne Eigentumsverifikation zu löschen. Dies gefährdet die Integrität von Account-Recovery-Mechanismen und ermöglicht potenzielle Account-Übernahmen.

Betroffene Systeme

Die Schwachstelle betrifft Dendrite-Versionen bis einschließlich 0.13.8. Dendrite ist ein Homeserver für das Matrix-Protokoll, das für dezentrale Echtzeit-Kommunikation verwendet wird. Alle Installationen dieser anfälligen Versionen sind potentiell exponiert.

Technische Details

Die Vulnerabilität befindet sich im Matrix Client-Server API, spezifisch im Forget3PID-Handler des Account-Lösch-Endpunkts. Der Handler validiert nicht ordnungsgemäß, ob der authentifizierte Benutzer tatsächlich Eigentümer der zu löschenden E-Mail-Adresse oder MSISDN (Mobile Station Integrated Services Digital Network) ist.

Ein Angreifer kann durch Submission beliebiger Adressen und Medientypen fremde Bindungen löschen. Nach erfolgreichem Löschen kann die Adresse über einen Identity-Server neu gebunden werden, wodurch der Angreifer Kontrolle über den Password-Reset-Flow des Opfers erlangt und potentiell vollständigen Account-Zugriff erhält.

Empfohlene Massnahmen

• Sofortige Maßnahme: Update auf eine Dendrite-Version nach 0.13.8 durchführen
• Überprüfung von Account-Aktivitäten auf verdächtige Bindungsänderungen
• Implementierung zusätzlicher Authentifizierungsmechanismen für sensitive Account-Operationen
• Monitoring der Forget3PID-Anfragen in den Server-Logs

Bewertung

CVSS-Score: 6.5 (Medium)
Angriffsvektor: Network
Verfügbarkeit eines Patches: Nein

Die Vulnerabilität erfordert Authentifizierung und hat begrenzte Auswirkungen, wird aber als kritisch für Identity-Management betrachtet.

„`