Quasar @quasar/ssl-certificate: Privater Entwicklungsschlüssel mit unsicheren Berechtigungen gespeichert
Zusammenfassung
Das Hilfsprogramm @quasar/ssl-certificate, das von Quasar-CLI-Werkzeugen für lokale Entwicklungs-HTTPS-Zertifikate verwendet wird, speicherte den privaten Schlüssel und das Zertifikat gemeinsam im Cache, ohne die Dateiberechtigungen einzuschränken. Ein anderer lokaler Benutzer, der die Cache-Datei lesen kann, kann den Schlüssel kopieren und den Entwicklungs-TLS-Endpunkt in einer Umgebung imitieren, die dem Zertifikat vertraut. Das erzeugte Zertifikat war zudem CA-fähig und hatte zu weit gefasste Schlüsselverwendungen.
Betroffen
- @quasar/ssl-certificate vor 2.1.0
- @quasar/cli vor 5.0.4
- @quasar/app-vite vor 3.3.0
- Quasar Framework (quasarframework/quasar) vor 2.23.3 laut Aggregatordaten, nicht in einer primären Quasar-Quelle bestätigt
Behoben in
- @quasar/ssl-certificate 2.1.0
- @quasar/cli 5.0.4
- @quasar/app-vite 3.3.0
Umgehung
Unbekannt.
Übergangsmassnahmen (nicht aus der Herstellerwarnung): Zwischengespeicherte Quasar-Entwicklungszertifikate und -schlüssel aus den Benutzerverzeichnissen der Entwickler löschen, prüfen, ob die Cache-Datei nur vom Eigentümer lesbar ist, und Vertrauenseinträge für das Entwicklungszertifikat entfernen.
Ausnutzung
- CISA SSVC: Ausnutzung keine, nicht automatisierbar.
- Nicht im CISA-KEV-Katalog gelistet.
- In den geprüften Quellen wurden kein öffentlicher Proof of Concept und keine Ausnutzung in freier Wildbahn gefunden.
Unsere Empfehlung
- @quasar/ssl-certificate auf 2.1.0 oder neuer, @quasar/cli auf 5.0.4 oder neuer und @quasar/app-vite auf 3.3.0 oder neuer aktualisieren; Versionen fixieren statt lockere Bereiche wie ^2.0.0 zu verwenden.
- Lockfiles neu erstellen und transitive Abhängigkeiten prüfen.
- Bestehende Entwicklungszertifikate und -schlüssel aus dem Cache löschen und nach dem Upgrade neu erzeugen.
- Vertrauenseinträge für alte Entwicklungszertifikate aus dem Trust-Store entfernen.
- Gemeinsam genutzte Entwickler-Arbeitsstationen, Build-Server und CI-Runner mit Vorrang behandeln, auf denen weitere lokale Konten existieren.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-fh39-c73x-5pjv github.com
- Fix commit b719460 github.com
- Release @quasar/app-vite v3.3.0 github.com
- Release @quasar/cli v5.0.4 github.com
- OSV entry CVE-2026-106105 osv.dev
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 12:47.
Referenzen der NVD (4)
- https://github.com/quasarframework/quasar/commit/b719460aa78e88714b8a1b7ca68267234d217575
- https://github.com/quasarframework/quasar/releases/tag/@quasar/app-vite-v3.3.0
- https://github.com/quasarframework/quasar/releases/tag/@quasar/cli-v5.0.4
- https://github.com/quasarframework/quasar/security/advisories/GHSA-fh39-c73x-5pjv
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.