Hitachi Vantara Remote Ops Agent: Fehlender Brute-Force-Schutz bei Passwort-Zurücksetzung
Zusammenfassung
Der Hitachi Vantara Remote Ops Agent begrenzt die Anzahl Versuche für den Passwort-Zurücksetzungscode nicht. Ist die Passwort-Zurücksetzung aktiviert und E-Mail konfiguriert, kann ein nicht authentifizierter Angreifer aus dem Netzwerk den Code per Brute-Force erraten und Konten übernehmen. Gemäss dem CNA-Eintrag des Herstellers besteht die Auswirkung in administrativer Kontrolle über die Anwendung, etwa durch Ändern der Dienstkonfiguration oder Anfordern von Protokollsammlungen, nicht aber im Zugriff auf Gerätezugangsdaten oder Kundendaten.
Betroffen
- Remote Ops Agent 1.6.0 bis 2.0
- Standardkonfiguration: gemäss CNA-Eintrag nicht betroffen
- Voraussetzungen: Passwort-Zurücksetzung aktiviert und E-Mail konfiguriert
Behoben in
- Remote Ops Agent Version 2.1 (gemäss CNA-Eintrag; Migration wird empfohlen)
Umgehung
- Unbekannt. Keine vom Hersteller dokumentierte Workaround-Massnahme.
- Netzwerkzugriff auf die Weboberfläche des Agenten einschränken.
- Falls ein Update nicht sofort möglich ist, Passwort-Zurücksetzung deaktivieren erwägen.
Ausnutzung
- Keine bekannte Ausnutzung. Nicht in CISA KEV aufgeführt.
- CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung total.
- Kein öffentlicher Proof of Concept gefunden.
Unsere Empfehlung
- Prüfen, ob Remote Ops Agent 1.6.0 bis 2.0 installiert ist.
- Hinweise im Advisory des Herstellers lesen und auf Version 2.1 aktualisieren.
- Zugriff auf die Weboberfläche auf vertrauenswürdige Netzwerke beschränken.
- Prüfen, ob Passwort-Zurücksetzung aktiviert und E-Mail konfiguriert ist.
- Administrator-Konten sowie letzte Anmelde- und Passwort-Zurücksetzungsaktivitäten überprüfen.
- CVE-2026-108337 (gleiches Produkt, behoben in 2.1) gleichzeitig patchen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Hitachi Vantara knowledge base advisory knowledge.hitachivantara.com
- VulDB entry 420399 vuldb.com
- VulDB CVE page vuldb.com
- OpenCVE CVE-2026-108335 app.opencve.io
- Vulners VulnRichment CVE-2026-108335 vulners.com
- OffSeq Radar CVE-2026-108335 radar.offseq.com
- VulDB entry 420398 (related CVE-2026-108337) vuldb.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 06:34.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.