🟠 CVE-2026-79667: High Schwachstelle

„`html

Zusammenfassung

In Ech0 Version 4.3.4 und älteren Versionen existiert eine Authentifizierungsschwachstelle, die zur unautorisierten Ausweitung von Zugriffsprivilegien führt. Das System versäumt es, Scoped Access Token (SAT) korrekt auf mehreren privilegierten Admin-Endpoints durchzusetzen. Dadurch können Angreifer mit beschränkten Token-Bereichen auf sensible Funktionen zugreifen, für die sie nicht autorisiert sind.

Betroffene Systeme

• Ech0 Version 4.3.4 und früher
• Alle Installationen ohne Patch 4.4.3

Technische Details

Fehlerhafte Implementierung: Mehrere kritische Endpoints implementieren keine Scope-Validierung:

• /api/inbox – Lesezugriff auf Nachrichten
• /api/panel/comments – Verwaltung von Kommentaren
• /api/backup/export – Datenbankexport

Root Cause: Die Autorisierungsprüfung basiert ausschließlich auf der Admin-Rolle des Benutzers, nicht auf dem Token-Scope. Der Backup-Export-Handler ignoriert die Token-Scope-Metadaten vollständig und behandelt alle Admin-Token als gleichberechtigt.

Angriffsszenario: Ein Angreifer, der ein absichtlich limitiertes Admin-Token mit minimalem Scope erhält, kann diese Einschränkungen umgehen. Durch direkte API-Aufrufe auf die genannten Endpoints liest er das komplette Inbox-System aus oder exportiert die vollständige Datenbankarchiv-ZIP-Datei – unabhängig vom Token-Scope.

Empfohlene Massnahmen

1. Sofort: Upgrade auf Version 4.4.3 durchführen
2. Alternativ: Beschränkung des Zugriffs auf genannte Endpoints durch WAF/Proxy-Regeln
3. Monitoring: Logs auf verdächtige API-Aufrufe von Admin-Token mit niedrigen Scopes prüfen
4. Token-Audit: Alle aktiven Admin-Token überprüfen und bei Bedarf neu ausstellen

Bewertung

CVSS v3.1: 7.6 (High) | Vektor: Network | Komplexität: Gering

Die Schwachstelle erlaubt Privilege-Escalation ohne Benutzerinteraktion und gefährdet vertrauliche Daten erheblich.

„`