FastBee: Unsichere direkte Objektreferenz in Geräte-Endpunkten

Zusammenfassung

FastBee bis und mit Version 2.1.0 prüft in den Endpunkten der DeviceController-Klasse nicht, ob ein Gerät dem anfragenden Benutzer gehört. Ein authentifizierter Benutzer mit niedrigen Rechten kann über fortlaufende deviceId- oder serialNumber-Werte auf Geräte zugreifen und Owner-, IP- und Standortdaten anderer Tenants lesen. Ausserdem kann er user_id und tenant_id überschreiben und so Geräte übernehmen. Für den Angriff ist ein gültiges Konto nötig, das bei aktivierter Selbstregistrierung leicht zu erhalten ist.

Betroffen

• FastBee bis und mit Version 2.1.0 (gemäss CNA-Eintrag: betroffen 0 bis <= 2.1.0)
• Ältere Zweige (zum Beispiel v1.2.1) enthalten denselben DeviceController-Code; ihr Status ist nicht verifiziert.

Behoben in

Unbekannt. Es wurde keine korrigierte Version veröffentlicht.

Umgehung

• Vom Hersteller ist keine Massnahme veröffentlicht.
• Selbstregistrierung deaktivieren oder nur vertrauenswürdige Konten zulassen.
• Zugriff auf die Weboberfläche und die API von FastBee auf VPN oder interne Netzwerke beschränken.

Ausnutzung

• Die CISA-SSVC-Bewertung des CNA führt die Ausnutzung als 'poc' und die Automatisierbarkeit als 'no'.
• VulDB gibt an, dass kein Exploit verfügbar ist.
• Ein Write-up eines Drittanbieters existiert.
• Es sind keine Berichte über Ausnutzung in freier Wildbahn bekannt.

Unsere Empfehlung

• Prüfen, ob eine FastBee-Instanz aus dem Internet erreichbar ist und ob Selbstregistrierung aktiviert ist.
• Zugriff bis zur Verfügbarkeit einer Korrektur auf vertrauenswürdige Netzwerke oder VPN beschränken.
• Gerätedatensätze auf unerwartete Änderungen der Owner- und Tenant-Felder prüfen.
• Zugriffe auf Geräte-Endpunkte auf fortlaufende ID-Abfragen überwachen.
• Das GitHub-Repository von kerwincui auf eine Korrektur oder Sicherheitsmitteilung prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE record references: FastBee v2.1.0 DeviceServiceImpl github.com
• CVE record references: FastBee v2.1.0 DeviceController github.com
• CVE record references: FastBee v1.2.1 DeviceController github.com
• VulnCheck advisory www.vulncheck.com
• Third-party write-up (HackMD) hackmd.io
• VulDB entry vuldb.com
• OSV entry osv.dev

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 08:26.