Wukong_HRM: Authentifizierungsumgehung über ParamAspect in der HRM-API

Zusammenfassung

Wukong_HRM bis Commit 186115e enthält eine Authentifizierungsumgehung in der Komponente ParamAspect. Ein nicht authentifizierter Angreifer kann HRM-API-Endpunkte aufrufen, indem er den Header AUTH-TOKEN weglässt. Bei erfolgreicher Ausnutzung erhält er Zugriff auf Lohnabrechnungen, Lohnhistorie, persönliche Mitarbeiterdaten und Anhänge mit HR-Administratorrechten und kann HR-Datensätze ändern oder löschen. Für den Angriff genügt Netzwerkzugriff auf die Anwendung.

Betroffen

• Wukong_HRM bis Commit 186115e1a5a0b827ad9596ff8c2f3a876fb0cc55
• Die betroffenen Versionen werden über den Git-Commit definiert; jede Version, die diesen Commit enthält, ist betroffen

Behoben in

Unbekannt.

Umgehung

• Direkte Internetexposition der HRM-Instanz entfernen; Instanz hinter ein VPN oder einen Reverse Proxy mit SSO-Pflicht stellen, der Anfragen ohne gültiges Session-Token ablehnt
• Logs auf API-Aufrufe ohne Header AUTH-TOKEN sowie auf unerwartete Anhang-Downloads oder Exporte prüfen

Ausnutzung

• Öffentlicher Proof of Concept vorhanden (CISA SSVC: Exploitation 'poc', automatisierbar 'yes', technische Auswirkung 'total')
• Nicht bekanntermassen aktiv ausgenutzt; nicht in KEV gelistet
• Ein Aggregator meldet keinen öffentlichen PoC; den Daten der CISA ADP wird mehr Gewicht beigemessen

Unsere Empfehlung

• Prüfen, ob bei Kunden Wukong_HRM eingesetzt wird und ob die Instanz aus dem Internet erreichbar ist
• Öffentliche Exponierung sofort entfernen oder den Zugriff auf VPN oder einen authentifizierenden Proxy beschränken
• Logs auf Anfragen ohne Header AUTH-TOKEN sowie auf ungewöhnliche Downloads oder Exporte prüfen
• Bei vermuteter Exponierung Mitarbeiterdaten als kompromittiert behandeln, Anwendungszugangsdaten rotieren, HR-Admin-Konten überprüfen und Meldepflichten nach dem revidierten Schweizer DSG prüfen
• Vendor-Repository und Advisories auf einen Fix überwachen und diesen bei Verfügbarkeit einspielen

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• VulnCheck advisory www.vulncheck.com
• ParamAspect.java (vendor, commit 186115e) github.com
• EmployeeAspect.java (vendor, commit 186115e) github.com
• CVE record (CVEProject cvelistV5) raw.githubusercontent.com
• OpenCVE entry app.opencve.io
• Proof-of-concept repository (unreviewed) github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 02:33.