🟠 CVE-2026-54418: High Schwachstelle

„`html

Zusammenfassung

Leantime in Version 3.6.2 und älter weist eine kritische Autorisierungslücke in den JSON-RPC-Methoden der TwoFA-Komponente auf. Die betroffenen Methoden getSetupData, saveSecret, verifyAndEnable und disable2FA führen keine Eigentümerprüfung oder Authentifizierungsvaldierung durch. Ein authentifizierter Angreifer kann dadurch fremde Benutzerkonten manipulieren und deren Zwei-Faktor-Authentifizierung deaktivieren.

Betroffene Systeme

Produkt: Leantime
Versionen: bis 3.6.2
Plattformen: Alle (unabhängig von Betriebssystem)
Voraussetzung: Gültiger Benutzeraccount erforderlich

Technische Details

Die vulnerablen RPC-Endpunkte akzeptieren einen userId-Parameter, ohne dessen Zughörigkeit zum anfragenden Benutzer zu validieren. Dies ermöglicht mehrere Angriffsszenarien:

• Secret-Offenlegung: Über getSetupData können TOTP-Secrets anderer Benutzer ausgelesen werden
• 2FA-Deaktivierung: Die Methode disable2FA ermöglicht das Entfernen der 2FA ohne Authentifizierung
• Fehlende Session-Pinning: Keine Mechanismen zur Session-Validierung vorhanden
• Permission-Bypass: Im Gegensatz zu anderen RPC-Methoden fehlen Attribut-basierte Zugriffschecks

Das Vulnerability-Pattern ähnelt CVE-2026-15509, bezieht sich aber auf eine separate, unabhängige Schwachstellengruppe.

Empfohlene Massnahmen

• Sofortige Massnahmen: Betroffene Instanzen isolieren oder Benutzerkonten mit sensiblen Daten monitoren
• Audit: 2FA-Deaktivierungen und TwoFA-Methodenaufrufe in Logs überprüfen
• Passwort-Reset: Für kompromittierte Konten durchführen
• Update: Auf eine gepatchte Version upgraden (sobald verfügbar)
• Temporary Workaround: JSON-RPC-Zugriff auf TwoFA-Methoden auf Firewall-Ebene limitieren

Bewertung

CVSS-Score: 8.1 (High)
Angriffsvektor: Network
Authentifizierung: Erforderlich (Low Barrier)
Komplexität: Niedrig – triviale Ausnutzung möglich
Impact: Kritisch – vollständige Umgehung der 2FA-Sicherheit

Status: Patch ausstehend. Benutzer sollten auf Update-Ankündigungen achten.

„`