🟠 CVE-2026-74879: High Schwachstelle

„`html

Zusammenfassung

Die Sicherheitslücke CVE-2026-74879 betrifft openssl_encrypt-Versionen vor 1.4.0 und ermöglicht es unauthentifizierten Angreifern, sensitive Informationen durch den /ready-Endpoint zu extrahieren. Der Endpoint gibt vollständige Datenbank-Exception-Strings zurück, ohne die Anfrage zu authentifizieren.

Betroffene Systeme

Folgende Komponenten sind betroffen:

• openssl_encrypt < 1.4.0
• Verschiedene abhängige Systeme, die diesen Dienst nutzen
• Produktionsumgebungen mit öffentlich erreichbarem /ready-Endpoint

Technische Details

Der /ready-Endpoint dient normalerweise als Health-Check-Mechanismus. Die Schwachstelle liegt darin, dass bei Datenbankfehlern die vollständigen Exception-Strings an den Aufrufer zurückgegeben werden, ohne vorherige Authentifizierung zu erzwingen.

Durch gezieltes Triggern von Datenbankfehlern können Angreifer folgende Informationen extrahieren:

• Datenbank-Hostnamen und IP-Adressen
• Verbindungsparameter und Portnummern
• Potenzielle Anmeldedaten in Exception-Meldungen
• Informationen über die Datenbankstruktur

Der Angriffsvektor ist Network-basiert und erfordert keine speziellen Rechte oder Authentifizierung.

Empfohlene Massnahmen

• Sofortige Aktualisierung auf openssl_encrypt 1.4.0 oder höher durchführen
• Den /ready-Endpoint mit Authentifizierung schützen oder auf interne IP-Ranges beschränken
• Fehlermeldungen auf Client-Seite generisch gestalten (keine technischen Details)
• Exception-Logging nur auf Server-Seite vornehmen
• Netzwerk-Segmentierung für Monitoring-Endpoints implementieren
• Web Application Firewall (WAF) einsetzen zur Filterung verdächtiger Anfragen

Bewertung

Schweregrad: High (CVSS 7.5)

Die Bewertung wird durch die fehlende Authentifizierung und die direkten Zugriffsmöglichkeiten auf sensitive Informationen gerechtfertigt. Die Lücke ermöglicht Information Disclosure ohne Authentifizierung und kann als Ausgangspunkt für weiterführende Angriffe genutzt werden.

„`