TSplus Remote Access: Unzureichende Zugriffskontrolle legt interne Webressourcen offen
Zusammenfassung
TSplus Remote Access, eine Software für Fernzugriff und Anwendungsbereitstellung unter Windows, enthält eine unzureichende Zugriffskontrolle im Webserver. Ein nicht authentifizierter Angreifer aus dem Netzwerk kann über den Endpunkt /socket.io/JWN/ manipulierte Pfade verwenden, um interne Ressourcen zu erreichen, die eigentlich gesperrt sein sollten. Laut CVSS-Vektor betrifft die Schwachstelle nur die Vertraulichkeit, nicht Integrität oder Verfügbarkeit; für den Angriff sind keine Berechtigungen oder Benutzerinteraktion nötig.
Betroffen
- TSplus Remote Access 19.20.3.10 (bestätigt)
- Frühere Versionen könnten ebenfalls betroffen sein (Umfang nicht ermittelt)
Behoben in
- Unbekannt. INCIBE gibt an, dass das Problem in der neuesten Version von TSplus Remote Access behoben ist; ein konkreter Fix-Build wurde nicht genannt.
Umgehung
- Keine vom Hersteller dokumentierte Workaround-Massnahme.
- Netzwerkzugriff auf den TSplus-Webserver auf vertrauenswürdige Quellen oder VPN beschränken.
- Webserver-Logs auf ungewöhnliche Anfragen an /socket.io/JWN/ überwachen.
- Ein Reverse Proxy oder eine WAF, die Anfragen an den betroffenen Pfad einschränkt, kann helfen; dies sind allgemeine Massnahmen und keine vom Hersteller getesteten Korrekturen.
Ausnutzung
- INCIBE führt die Ausnutzung als "Nein" auf.
- Nicht im CISA-KEV-Katalog gelistet.
- Kein öffentlicher Proof of Concept für diese CVE gefunden.
Unsere Empfehlung
- Alle TSplus-Remote-Access-Server identifizieren, insbesondere die aus dem Internet erreichbaren, und deren Versionen erfassen.
- Bei TSplus oder beim Reseller nachfragen, welcher Build CVE-2026-108070 behebt, anschliessend aktualisieren und prüfen, dass nicht mehr 19.20.3.10 installiert ist.
- Bis zur Behebung den Zugriff auf vertrauenswürdige Netzwerke oder VPN beschränken und Logs auf Anfragen an /socket.io/JWN/ prüfen.
- CVE-2026-108071 (MFA-Umgehung) und CVE-2026-108072 (unsichere Berechtigungen) im gleichen Update-Zyklus beheben.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- INCIBE-CERT notice INCIBE-2026-741 www.incibe.es
- SentinelOne vulnerability database: CVE-2026-108070 www.sentinelone.com
- Ionix threat center: CVE-2026-108070 www.ionix.io
- Strix: CVE-2026-108070 www.strix.ai
- TSplus Remote Access changelog insights.tsplus.net
- Positive Technologies PT-2026-114003 vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 04:07.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.