Liquid-co OpenSave: Path Traversal ermöglicht beliebiges Lesen und Schreiben von Dateien

Zusammenfassung

OpenSave bis einschliesslich Version 2.4.0 validiert vom Peer gelieferte Speicherpfade in den Manifest- und Sync-Handlern nicht korrekt. Ein Peer kann Verzeichnisse ausserhalb der konfigurierten Speicherordner angeben und dort Dateien lesen und schreiben. Laut einem öffentlichen Bericht authentifiziert auch der WAN-Relay-Sync den Absender nicht, sodass eine Person mit blossem Raumcode beliebige Verzeichnisse auf einem fremden Gerät registrieren kann. Die Auswirkungen auf Vertraulichkeit und Integrität sind hoch, die Verfügbarkeit ist nicht betroffen.

Betroffen

• OpenSave 0 bis einschliesslich 2.4.0 (gemäss CVE-Eintrag und VulnCheck)
• Die Standardkonfiguration wird vom CNA als nicht betroffen aufgeführt; die Exposition hängt von gekoppelten Peers und aktiviertem WAN-/Relay-Sync ab

Behoben in

• Unbekannt. Kein Advisory des Herstellers und kein bestätigter Fix gefunden.
• v2.4.1 (veröffentlicht am 02.10.2026) ist nicht als Fix verifiziert; Changelog vor einem Einsatz prüfen.

Umgehung

• WAN-/Relay-Sync deaktivieren, bis ein Fix verifiziert ist (Empfehlung, kein Workaround des Herstellers).
• UPnP-Portweiterleitung (Port 8386) auf Hosts deaktivieren, die sie nicht zwingend benötigen.
• Nur eigene Geräte koppeln und unbekannte Peers entfernen.
• OpenSave als Standardbenutzer betreiben und Speicherordner getrennt von sensiblen Daten halten.

Ausnutzung

• Nicht im CISA KEV aufgeführt. CISA SSVC: Exploitation none, Automatable no. EPSS unter 1 %.
• Ein öffentlicher Bericht existiert; es wurde kein funktionierender Exploit-Code oder öffentlicher PoC gefunden.
• Keine bekannte Ausnutzung in freier Wildbahn.

Unsere Empfehlung

• Prüfen, ob OpenSave auf Firmengeräten installiert ist, und die installierte Version bestätigen.
• WAN-/Relay-Sync und UPnP-Portweiterleitung deaktivieren, bis ein verifizierter Fix installiert ist.
• Nur bekannte Geräte koppeln und unbekannte Peers entfernen.
• Changelog von v2.4.1 und Hersteller-Advisories prüfen, bevor neuere Builds eingesetzt werden.
• Auf Updates des Herstellers achten; die Relevanz ist für die meisten KMU gering, sofern Mitarbeitende OpenSave nicht auf Arbeitsgeräten nutzen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• VulnCheck advisory www.vulncheck.com
• Researcher write-up (Gist) gist.github.com
• OpenSave repository github.com
• OpenSave v2.4.0 release github.com
• OpenSave v2.4.1 release github.com
• OSV entry CVE-2026-103398 osv.dev
• OpenCVE CVE-2026-103398 app.opencve.io
• OpenSave README (UPnP option) github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 09:34.