NetEase Cloud Music: Umgehung der TLS-Zertifikatsprüfung
Zusammenfassung
Der Windows-Desktopclient von NetEase Cloud Music (cloudmusic.exe) in den Versionen 3.1.38 und 3.1.39.205426 prüft TLS-Serverzertifikate nicht korrekt. Ein Angreifer im selben Netzwerkpfad, etwa in einem öffentlichen oder kompromittierten WLAN, kann HTTPS-Verkehr mit einem gefälschten Zertifikat abfangen und das Sitzungs-Credential MUSIC_U erbeuten. Zudem kann er API-Antworten lesen und verändern, was eine Übernahme des Benutzerkontos ermöglichen kann. Ein Herstellerfix ist nicht bekannt, und NetEase hat die Meldungen Berichten zufolge nicht bearbeitet.
Betroffen
- NetEase Cloud Music für Windows 3.1.38
- NetEase Cloud Music für Windows 3.1.39.205426
Behoben in
Unbekannt. Der Hersteller hat bisher keine korrigierte Version veröffentlicht.
Umgehung
- Client auf Geschäftsgeräten deinstallieren oder nur auf privaten, nicht geschäftlich genutzten Geräten belassen.
- Client nicht in unsicheren Netzwerken verwenden.
- Netzwerkzugriff der Anwendung einschränken und auf ungewöhnliche, von ihr gestartete Kindprozesse achten.
Ausnutzung
- Ein Ausnutzen in freier Wildbahn ist nicht bekannt.
- VulDB meldet, dass kein Exploit existiert. Eine öffentliche technische Beschreibung existiert, wurde von uns jedoch nicht verifiziert.
- CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
- Ein nicht verifizierter Aggregatorbericht besagt, dass NetEase die Meldungen ohne Massnahmen geschlossen hat.
Unsere Empfehlung
- Alle Windows-Endgeräte auf NetEase Cloud Music prüfen und den Client von Geschäfts- und Administrationsgeräten entfernen.
- Client nicht in öffentlichen oder unsicheren Netzwerken verwenden.
- Falls der Client in einem unsicheren Netzwerk verwendet wurde, die NetEase-Sitzung beenden und das Passwort ändern, insbesondere wenn es auch anderswo verwendet wird.
- Endgeräte auf ungewöhnliche Kindprozesse der Anwendung überwachen.
- Regelmässig auf einen Herstellerfix prüfen und erst nach Bestätigung einer korrigierten Version wieder installieren.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- VulnCheck advisory: NetEase Cloud Music TLS Certificate Validation Bypass www.vulncheck.com
- Public technical write-up (gist) gist.github.com
- VulDB entry 417212 vuldb.com
- HOL Guard CVE record hol.org
- Rapid7 record via Vulners vulners.com
- OpenCVE record app.opencve.io
- Strix CVE record www.strix.ai
- CraftedSignal brief on sibling CVE-2026-109422 feed.craftedsignal.io
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 06:54.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.