BotSharp: Authentifizierungsumgehung durch fest codierten JWT-Signaturschlüssel

Zusammenfassung

BotSharp bis einschliesslich 5.2.0 enthält einen fest codierten JWT-Signaturschlüssel (Jwt:Key) in der appsettings.json von WebStarter. Ein nicht authentifizierter Angreifer aus dem Netzwerk kann damit eigene Bearer-Tokens signieren und sich auf Authorize-geschützten API-Routen als beliebiger bekannter Benutzer ausgeben, einschliesslich Administratoren. Betroffen ist die Standardkonfiguration, und eine gepatchte Version ist nicht veröffentlicht.

Betroffen

• SciSharp BotSharp 0 bis einschliesslich 5.2.0
• Standardkonfiguration von WebStarter (appsettings.json)

Behoben in

Unbekannt. Der Hersteller hat keine gepatchte Version veröffentlicht.

Umgehung

• Den fest codierten Jwt:Key durch ein Geheimnis ersetzen, das nicht im Quellcode gespeichert ist, und dieses rotieren. Durch die Rotation werden mit dem alten Schlüssel gefälschte Tokens ungültig.
• Den Netzwerkzugriff auf die BotSharp-Instanz einschränken, insbesondere auf Authorize-geschützte API-Routen.

Ausnutzung

• Bekannt ausgenutzt: nein (laut Eintrag nicht im CISA-KEV-Katalog).
• Öffentlicher Proof of Concept: in den Quellen keiner bestätigt.
• Der Schlüssel ist im Repository öffentlich, daher sind für die Ausnutzung keine Zugangsdaten und nur wenig Aufwand nötig.
• CISA SSVC: automatisierbar ja, technische Auswirkung total.

Unsere Empfehlung

• Prüfen, ob BotSharp WebStarter eingesetzt wird und ob in der Produktion die Standard-appsettings.json verwendet wird.
• Falls ja, den Jwt:Key ersetzen und rotieren sowie den Zugriff auf die API aus nicht vertrauenswürdigen Netzwerken einschränken.
• Logs auf unerwartete administrative Aktivitäten überwachen.
• Eigene Repositories und Deployment-Vorlagen auf committete JWT-Geheimnisse prüfen und weitere Agenten-Produkte überprüfen, die auf diesem Starter basieren.
• Die Releases des Herstellers auf einen Fix beobachten und ihn nach Verfügbarkeit umgehend einspielen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• VulnCheck advisory www.vulncheck.com
• HackMD write-up (CVE reference) hackmd.io
• BotSharp GitHub repository github.com
• WebStarter appsettings.json at commit a11ee03 github.com
• BotSharpOpenApiExtensions.cs at commit a11ee03 github.com
• Forkast News analysis forkast.news
• TheHackerWire advisory www.thehackerwire.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 02:32.