Eclipse BaSyx AAS Web UI: Offenlegung von Zugangsdaten an nicht vertrauenswürdige Ziele

Zusammenfassung

Die Web UI hängte den konfigurierten Authorization-Header der Infrastruktur an ausgehende Anfragen an, ohne das Zielziel zu prüfen. Bei Deployments mit Authentifizierung kann ein Angreifer eine angemeldete Benutzerin oder einen angemeldeten Benutzer dazu bringen, einen präparierten Link zu öffnen, dessen Parameter aas oder path auf einen vom Angreifer kontrollierten Endpunkt zeigt. Der Browser sendet dann Basic-Auth-Zugangsdaten, ein Bearer-Token oder ein OAuth2-Access-Token an diesen Endpunkt, und der Angreifer kann diese mit den Rechten des Opfers für geschützte AAS-Dienste verwenden.

Betroffen

• Eclipse BaSyx AAS Web UI v2-241220 bis vor v2-260924 (CNA-Eintrag)
• Nur Deployments mit konfigurierter Authentifizierung sind betroffen
• Der OSV-Eintrag enthält zusätzlich einen Bereich ab 0; dies widerspricht dem CNA-Eintrag und ist nicht verifiziert

Behoben in

• Auf v2-260924 oder neuer aktualisieren

Umgehung

Unbekannt. Vom Hersteller wird kein Workaround veröffentlicht.

Bis zur Aktualisierung als Zwischenmassnahme: Web-UI-Links aus nicht vertrauenswürdigen Quellen nicht öffnen und die Berechtigungen des Dienstkontos der Web UI einschränken.

Ausnutzung

• CISA SSVC: Exploitation none, automatable no
• Nicht im CISA-KEV-Katalog gelistet; EPSS unter 1 %
• Zum Zeitpunkt der Recherche wurden kein öffentlicher Proof of Concept und keine Ausnutzung in freier Wildbahn gefunden

Unsere Empfehlung

• Alle Web-UI-Instanzen mit Authentifizierung auf v2-260924 oder neuer aktualisieren
• Alle Instanzen und die darin konfigurierten Zugangsdaten erfassen
• War eine Instanz exponiert, Basic-Auth-Passwörter, Bearer-Token und OAuth2-Client-Secrets erneuern und die Logs auf Anfragen an unerwartete Hosts prüfen
• Projekt-Repository und Advisories auf weitere Details oder Exploit-Berichte überwachen

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Pull Request #1557: scope infrastructure requests to trusted origins github.com
• Release v2-260924 github.com
• Eclipse CVE assignment work item 328 gitlab.eclipse.org
• OSV entry CVE-2026-101322 osv.dev
• OpenCVE entry CVE-2026-101322 app.opencve.io

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 14:24.