youlai-boot: Fehlende Autorisierung bei Rollen-Menüzuweisung erlaubt Rechteerweiterung

Zusammenfassung

youlai-boot bis Version 2.21.1 prüft beim Endpunkt, der Menüs und Schaltflächen Rollen zuweist (PUT /api/v1/roles/{roleId}/menus), die Autorisierung nicht. Ein angemeldeter Benutzer mit geringen Rechten, etwa ein GUEST-Testkonto, kann seiner eigenen Rolle alle Berechtigungen zuweisen. Nach dem Aktualisieren des Redis-Berechtigungs-Caches erhält der Benutzer Zugriff auf Administratorebene. Der Angriff setzt eine gültige Anmeldung voraus, erfordert aber keine Interaktion eines Benutzers.

Betroffen

• youlai-boot 0 bis 2.21.1 (laut CNA-Eintrag und VulnCheck)
• Betroffener Bereich laut OSV: alle Commits vor dem Fix

Behoben in

• Unbekannt. Ein Fix-Commit wird referenziert (36d2db6dc559817bd4e02b1f33b1998891850497), aber es ist keine gepatchte Version bestätigt. Die neueste gefundene Version, v2.21.1, ist betroffen.

Umgehung

• Vom Hersteller veröffentlichte Workaround nicht gefunden.
• Rechte zur Rollenverwaltung einschränken und geteilte sowie Testkonten wie GUEST entfernen oder deaktivieren.
• Zugriff auf die Administrationsoberfläche auf VPN- oder interne Netze beschränken.
• Rollen- und Berechtigungsänderungen auf unerwartete Menü- oder Schaltflächenzuweisungen prüfen.

Ausnutzung

• Aktiv ausgenutzt: nicht bekannt. CISA SSVC führt die Ausnutzung als PoC und die Automatisierbarkeit als nein.
• Ein öffentlicher HackMD-Beitrag wird referenziert; ein öffentliches Exploit-Repository wurde nicht gefunden.
• EPSS 0.00411 (niedrig).

Unsere Empfehlung

• Prüfen, ob Ihre Installation oder Ihr Fork youlai-boot bis 2.21.1 verwendet und ob sie aus dem Internet erreichbar oder mit externen Benutzern geteilt ist.
• Prüfen, ob der Fix-Commit in Ihren Code übernommen wurde und der Endpunkt die Berechtigung des Aufrufers kontrolliert.
• Standardmässige Testkonten entfernen und das Prinzip der minimalen Rechte für die Rollenverwaltung durchsetzen.
• Berechtigungsänderungen und Audit-Logs überwachen; nach manuellen Korrekturen sicherstellen, dass der Redis-Berechtigungs-Cache aktualisiert wird.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub: RoleController.java (v2.21.1) github.com
• GitHub: RoleServiceImpl.java (v2.21.1) github.com
• GitHub: Fix commit 36d2db6 github.com
• VulnCheck advisory www.vulncheck.com
• HackMD write-up hackmd.io
• OSV: CVE-2026-110215 osv.dev
• youlai-boot releases github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 04:20.