wwwlike vlife: Authentifizierungsumgehung durch fest codierten JWT-Signaturschlüssel

Zusammenfassung

vlife bis einschliesslich 2.0.1 verwendet in TokenUtil einen fest codierten HS256-Signaturschlüssel für JSON Web Tokens (JWT). Ein nicht authentifizierter Angreifer aus dem Netzwerk kann ein Token mit superUser=true und beliebigen groupIds-Claims fälschen und so Super-Administrator-Zugriff auf alle URLs der Anwendung erhalten. Weitere Voraussetzungen ausser Netzwerkzugriff auf die Instanz bestehen nicht.

Betroffen

• wwwlike vlife bis einschliesslich 2.0.1 (alle Versionen bis und mit 2.0.1)
• Hinweis: Eine Quelle (ThreatInt) enthält widersprüchliche Angaben zum betroffenen Bereich; der CNA-Eintrag und andere Quellen nennen bis 2.0.1.

Behoben in

Unbekannt. Zum Zeitpunkt der Recherche wurde keine Herstellerwarnung und keine korrigierte Version gefunden.

Umgehung

• Vlife-Instanzen nicht direkt aus dem Internet erreichbar machen; Zugriff nur über ein VPN oder einen zugriffsbeschränkten Reverse Proxy erlauben.
• Zugriff nach Möglichkeit auf bekannte IP-Adressen beschränken.
• Eine herstellerseitige Workaround-Lösung ist nicht bekannt.

Ausnutzung

• CISA-SSVC-Bewertung: Ausnutzungsstatus 'poc', automatisierbar: ja, technische Auswirkung: total.
• Ein öffentlicher Proof of Concept könnte existieren; dies konnte nicht vollständig verifiziert werden.
• Keine bestätigte Ausnutzung in freier Wildbahn gefunden; zum Zeitpunkt der Recherche nicht im CISA-KEV-Katalog.
• EPSS-Wert zum Zeitpunkt der Recherche: 0.00995.

Unsere Empfehlung

• Prüfen, ob in Ihrer Umgebung eine vlife-Instanz betrieben wird, einschliesslich nicht verwalteter oder abgeleiteter Builds.
• Falls eine Instanz existiert und aus nicht vertrauenswürdigen Netzen erreichbar ist, diese sofort hinter einem VPN oder einem eingeschränkten Proxy isolieren.
• Den fest codierten Signaturschlüssel durch ein langes, zufälliges Geheimnis ersetzen, das aus der Konfiguration oder aus Umgebungsvariablen geladen wird; dies macht bestehende Token ungültig.
• Authentifizierungs- und Administratorprotokolle seit dem 14. Oktober 2026 auf unerwartete Aktivitäten prüfen.
• Auf einen Herstellerfix achten und diesen so bald wie möglich einspielen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• VulnCheck advisory for CVE-2026-110612 www.vulncheck.com
• HackMD write-up on hardcoded JWT secret hackmd.io
• Vulnerable code: TokenUtil.java github.com
• VulDB entry for CVE-2026-110612 vuldb.com
• GitHub repository wwwlike/vlife github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 02:10.