Ikaros: Umgehung der TOTP-Zwei-Faktor-Authentifizierung über Temp-Token
Zusammenfassung
Ikaros 1.2.0 bis 1.2.5 erlaubt es einem Angreifer, der bereits ein gültiges Passwort kennt, die TOTP-Zwei-Faktor-Prüfung zu umgehen, indem er das temporäre Login-Token wiederverwendet. Das Temp-Token kann als Bearer-JWT verwendet, erneuert oder über die HTTP-Basic-Anmeldung genutzt werden. Dadurch erhält der Angreifer vollen Kontozugriff, einschliesslich des Master-Administratorkontos.
Betroffen
- Ikaros 1.2.0 bis 1.2.5
- Ikaros-Versionen vor 1.2.0 sind nicht als betroffen aufgeführt
Behoben in
Unbekannt. Der Hersteller hat zum Zeitpunkt der Erstellung keine korrigierte Version bestätigt.
Umgehung
Unbekannt. Der Hersteller hat keine Workaround-Massnahme veröffentlicht.
- Die Weboberfläche und die API von Ikaros nicht aus dem Internet erreichbar machen; Zugriff auf das LAN oder ein VPN beschränken
- Für alle Ikaros-Konten, insbesondere das Administratorkonto, ein starkes, eindeutiges Passwort verwenden
Ausnutzung
- CISA SSVC: Exploitation-Status 'poc' (Proof of Concept vorhanden), nicht automatisierbar
- Keine Hinweise auf aktive Ausnutzung in freier Wildbahn gefunden
- Detaillierte Beschreibungen des Mechanismus sind veröffentlicht; deren Exploit-Inhalt ist nicht verifiziert
Unsere Empfehlung
- Prüfen, ob Ikaros im Einsatz ist und ob es aus dem Internet erreichbar ist
- Falls es exponiert ist, den Zugriff sofort auf das LAN oder ein VPN beschränken
- Administratorkonten und Sitzungen auf unerwartete Anmeldungen oder Änderungen prüfen
- Passwörter ändern und die Überwachung der Anmeldeereignisse aktivieren
- Ein Upgrade planen, sobald der Hersteller eine korrigierte Version bestätigt
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- VulnCheck advisory www.vulncheck.com
- Ikaros v1.2.5 release github.com
- SecurityEndpoint.java at v1.2.5 github.com
- JwtAuthenticationFilter.java at v1.2.5 github.com
- OSV entry CVE-2026-110097 osv.dev
- VulDB entry 417828 vuldb.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 08:27.
Referenzen der NVD (7)
- https://github.com/ikaros-dev/ikaros/blob/v1.2.5/server/src/main/java/run/ikaros/server/security/SecurityEndp…
- https://github.com/ikaros-dev/ikaros/blob/v1.2.5/server/src/main/java/run/ikaros/server/security/authenticati…
- https://github.com/ikaros-dev/ikaros/blob/v1.2.5/server/src/main/java/run/ikaros/server/security/authenticati…
- https://github.com/ikaros-dev/ikaros/releases/tag/v1.2.5
- https://hackmd.io/@1ExmmukzRMWN7B4gQ4W-4Q/ikaros-2fa-bypass-temp-token
- https://www.vulncheck.com/advisories/ikaros-1.2.0-through-1.2.5-totp-authentication-bypass-via-temp-token
- https://hackmd.io/@1ExmmukzRMWN7B4gQ4W-4Q/cve-2026-110097-ikaros-2fa-bypass-temp-token
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.