JetBrains YouTrack: Kontoübernahme durch Replay einer Benachrichtigungssignatur
Zusammenfassung
JetBrains YouTrack vor 2026.2.19197 enthält eine Schwachstelle bei der Autorisierung (CWE-863). Ein Angreifer kann eine Benachrichtigungssignatur wiederverwenden und so das Konto eines anderen Benutzers übernehmen. Voraussetzung ist Netzwerkzugriff auf die YouTrack-Instanz, aber keine Berechtigungen und keine Benutzerinteraktion, gemäss NVD und Drittquellen. Ob Administratorkonten erreichbar sind, ist in den Quellen nicht angegeben.
Betroffen
- JetBrains YouTrack Versionen vor 2026.2.19197 (selbst gehostet und Cloud, gemäss Herstellerangabe 0 bis < 2026.2.19197)
- CVSS-Wert und NVD-Status sind noch nicht bestätigt; die Quellen widersprechen sich (9.8 angegeben; 8.9 von einem Drittanbieter gemeldet)
Behoben in
- Upgrade auf YouTrack 2026.2.19197 oder neuer
- Ob ältere Release-Linien (2025.3, 2026.1) separate Backport-Builds erhalten haben, ist unbekannt.
Umgehung
- Unbekannt. Kein vom Hersteller veröffentlichter Workaround gefunden.
- Als allgemeine Massnahme den Zugriff auf YouTrack auf VPN oder bekannte Netze beschränken und die direkte Internetexposition wo möglich entfernen.
Ausnutzung
- Keine Hinweise auf eine Ausnutzung in freier Wildbahn gefunden.
- Nicht im Katalog der bekannten ausgenutzten Schwachstellen (KEV) der CISA aufgeführt.
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
- Kein öffentlicher Proof-of-Concept für diese CVE gefunden.
Unsere Empfehlung
- Alle YouTrack-Instanzen inventarisieren, einschliesslich selbst gehosteter und Docker-Instanzen, mit exakten Build-Nummern.
- Selbst gehostete Instanzen auf 2026.2.19197 oder neuer aktualisieren, oder auf den neuesten Build der eigenen Release-Linie.
- Bis zur Aktualisierung den Zugriff auf VPN oder bekannte Netze beschränken.
- Logins und Kontoänderungen auf Auffälligkeiten prüfen; nach dem Update Passwort-Resets und erneute Authentifizierung für Administratoren erzwingen.
- CVSS-Wert und NVD-Status auf der NVD-Seite prüfen, bevor der Schweregrad gemeldet wird.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- JetBrains Fixed Security Issues www.jetbrains.com
- OpenCVE CVE-2026-100277 app.opencve.io
- Threat Radar CVE-2026-100277 radar.offseq.com
- Strix CVE-2026-100277 www.strix.ai
- CISA ADP Vulnrichment via HOL hol.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 21:48.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.