Report One MyReport Updater: Unauthentifizierter gRPC-Dienst erlaubt Remote Code Execution
Zusammenfassung
MyReport Updater bis einschliesslich 2.1.1 stellt einen unauthentifizierten gRPC-Dienst auf TCP-Port 9095 bereit, der mit SYSTEM-Rechten läuft. Ein entfernter Angreifer kann die Methode UpdateConfigReferent aufrufen und den Updater auf einen bösartigen Referenzserver umleiten, der manipulierte Modularchive mit passenden MD5-Prüfsummen ausliefert. Bei erfolgreicher Ausnutzung können Dateien geschrieben und Code als SYSTEM ausgeführt werden, sofern der Dienst den Angreifer-Server per gRPC erreichen kann.
Betroffen
- Report One MyReport Updater, Versionen 0 bis 2.1.1 (gemäss CVE-Eintrag)
Behoben in
Unbekannt.
Umgehung
- Dem Hersteller ist keine veröffentlichte Workaround-Massnahme bekannt.
- TCP-Port 9095 mit Host- und Netzwerk-Firewalls auf die notwendigen Hosts beschränken.
- Den Updater von Hosts entfernen, auf denen MyReport nicht benötigt wird.
Ausnutzung
- Quarkslab hat eine technische Beschreibung der Angriffskette veröffentlicht; in unserer Recherche wurde kein Exploit-Code gefunden.
- Keine Ausnutzung in freier Wildbahn gefunden.
- CISA SSVC: Ausnutzungsstatus 'poc', automatisierbar: nein, technische Auswirkung: total.
- EPSS: 0.00649 (etwa 0.65 %).
Unsere Empfehlung
- Prüfen, ob MyReport Updater installiert ist und welche Version läuft.
- Zugriff auf TCP-Port 9095 umgehend einschränken und ausgehenden Verkehr des Updaters zu nicht vertrauenswürdigen Servern blockieren.
- Auf unerwartete gRPC-Verbindungen auf Port 9095 achten.
- Beim Hersteller eine korrigierte Version anfragen und diese sobald verfügbar einspielen.
- Zusätzlich CVE-2026-110633 prüfen, eine lokale Rechteausweitung im selben Produkt.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Quarkslab: MyReport Updater: From gRPC to SYSTEM blog.quarkslab.com
- VulnCheck advisory: Report One MyReport Updater through 2.1.1 www.vulncheck.com
- Vulners: CVE-2026-110632 vulners.com
- Strix: CVE-2026-110632 www.strix.ai
- MyReport (vendor website) www.myreport.fr
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 04:35.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.