Discord libdave: Unzureichende Prüfung der MLS-Welcome-Teilnehmerliste erlaubt unautorisierte Mitglieder

Zusammenfassung

Discord libdave, die C++- und JavaScript-Bibliothek für das DAVE-Protokoll zur Ende-zu-Ende-Verschlüsselung von Sprach- und Videoverbindungen, akzeptiert eine MLS-Welcome-Nachricht auch dann, wenn die resultierende Gruppenliste einen unbekannten Teilnehmer enthält. Ein Angreifer, der den DAVE-Signalisierungspfad kontrolliert, etwa das Voice Gateway oder eine gleichwertige Position, die Signalisierungsnachrichten hinzufügen, verändern oder zurückhalten kann, kann betroffene Clients dazu bringen, ein unautorisiertes Mitglied in eine verschlüsselte Mediensitzung aufzunehmen. Dadurch können Vertraulichkeit und Integrität von Audio und Video beeinträchtigt werden. Der Angreifer benötigt eine privilegierte Position im Signalisierungspfad, daher gilt die Ausnutzung durch typische Netzwerkangreifer als schwierig.

Betroffen

• Discord libdave vor 1.2.0
• Gemäss CNA: 1.1.0 bis vor 1.2.0, sowie Commits von 7b15f1fc16f159da0478aa6be909e38f1e957833 bis 9686fbaea864aa19f0675e486672b6a77811b6a1
• Ob Versionen vor 1.1.0 betroffen sind: Unbekannt.
• Discord-Client-Builds, die betroffene libdave-Versionen einbinden: Unbekannt.

Behoben in

• libdave 1.2.0 (Commit 9686fbaea864aa19f0675e486672b6a77811b6a1)

Umgehung

• Dem Hersteller ist kein Workaround bekannt.
• Für Anwendungen, die libdave einbinden: Einen Regressionstest hinzufügen, der eine Welcome-Nachricht mit unbekanntem Teilnehmer ablehnt, bis das Update eingespielt ist.

Ausnutzung

• Keine bekannte Ausnutzung in freier Wildbahn.
• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
• Kein öffentlicher Proof of Concept gemeldet.

Unsere Empfehlung

• Libdave auf Version 1.2.0 oder neuer aktualisieren, in allen Anwendungen, die Sie besitzen oder verwalten und die libdave einbinden.
• Bei Discord selbst den Client mit automatischen Updates betreiben und prüfen, ob er aktuell ist.
• Herstellerveröffentlichungen auf weitere Details oder eine Discord-Sicherheitsmitteilung überwachen.
• Priorität für KMU: mittel, angesichts des hohen Scores, der schwierigen Angreiferposition und fehlender bekannter Ausnutzung.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Discord libdave GitHub repository github.com
• libdave v1.2.0 release github.com
• Fix commit 9686fbaea864aa19f0675e486672b6a77811b6a1 github.com
• DAVE protocol whitepaper daveprotocol.com
• OSV entry CVE-2026-104480 osv.dev
• Strix CVE-2026-104480 www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 00:15.