EnergizeLab Eilik: Fehlende Authentifizierung bei Geräte-Token-Ausstellung
Zusammenfassung
Der NestJS-Authentifizierungsdienst der Roboterplattform EnergizeLab Eilik stellt Geräte-Token für beliebige Seriennummern aus, ohne den Anfragenden zu prüfen. Ein nicht authentifizierter Angreifer aus dem Netzwerk kann so für jede Seriennummer ein gültiges Geräte-Token erhalten und sich gegenüber den Cloud-Diensten des Herstellers als dieses Gerät ausgeben. Der Eilik ist ein Schreibtisch-Begleitroboter, der vor allem für Kinder vermarktet wird; der Forscher berichtet zudem von damit zusammenhängenden Datenschutzrisiken auf derselben Plattform.
Betroffen
- EnergizeLab NestJS-Authentifizierungsdienst, Version 1.8.2 (laut VulDB, Offseq und Strix)
- Frühere Versionen: Unbekannt.
Behoben in
- Unbekannt. Es wurde weder ein korrigiertes Release noch eine Herstellerwarnung gefunden.
Umgehung
- Keine vom Hersteller bestätigte Massnahme bekannt.
- Betreiber: Netzwerkzugriff auf den Authentifizierungsdienst einschränken und die Ausstellung von Geräte-Token auf unerwartete Seriennummern überwachen.
- Besitzer: Roboter von sensiblen Netzwerken fernhalten und ihn nicht für vertrauliche Daten verwenden, bis der Hersteller eine Korrektur bestätigt.
Ausnutzung
- Keine bekannte Ausnutzung in freier Wildbahn. CISA SSVC: Exploitation none, Automatable yes.
- Öffentlicher Proof of Concept: widersprüchliche Angaben; für diese CVE nicht verifiziert.
Unsere Empfehlung
- Alle Eilik-Geräte und zugehörigen Konten in Ihrer Organisation erfassen.
- Eilik-Geräte von Geschäftsnetzwerken fernhalten.
- Vor einer Wiederinbetriebnahme beim Hersteller nach einer Korrektur fragen.
- Bei intern betriebenem Authentifizierungsdienst auf unerwartete Geräteaktivität achten.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- CVE-2026-105034 at OpenCVE app.opencve.io
- VulDB 420899 vuldb.com
- Offseq radar entry radar.offseq.com
- Strix CVE-2026-105034 www.strix.ai
- AHA! advisory (takeonme.org) takeonme.org
- Research write-up on GitHub github.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 15:56.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.