JuggleIM im-server: Fest codierte Standard-Administratorzugangsdaten in Admin-Konsole

Zusammenfassung

JuggleIM im-server bis Version 1.8.16 wird mit Standard-Administratorzugangsdaten (admin/123456) für die Admin-Konsole auf Port 8090 ausgeliefert. Ein nicht authentifizierter Angreifer, der die Konsole erreichen kann, kann sich als Administrator anmelden und Tenant-Anwendungen sowie deren App-Secrets kontrollieren. Laut Beschreibung wird das Konto beim Login auch nach einer Löschung neu erstellt, weshalb das Entfernen den Zugriff nicht unterbindet.

Betroffen

• JuggleIM im-server bis 1.8.16 (CVE-Eintrag: betroffen 0 bis <= 1.8.16)
• Standardkonfiguration: Admin-Konsole auf Port 8090 mit Standard-Login admin/123456

Behoben in

Unbekannt.

Umgehung

• Die Standard-Zugangsdaten admin/123456 unmittelbar nach der Installation durch ein starkes, eindeutiges Passwort ersetzen.
• Den Netzwerkzugriff auf die Admin-Konsole auf Port 8090 einschränken (z. B. nur per Firewall oder VPN).
• Überwachen, ob das Standard-Administratorkonto erneut angelegt wird.

Ausnutzung

• CISA SSVC (CISA ADP, Vulnrichment): Ausnutzungsstatus 'poc', automatisierbar 'yes', technische Auswirkung 'total'.
• Nicht im CISA-KEV-Katalog aufgeführt.
• Widersprüchliche Angaben zu öffentlichem Exploit-Code; keine bestätigte Ausnutzung in freier Wildbahn gefunden.
• EPSS unter 1 %.

Unsere Empfehlung

• Umgehend prüfen, ob Port 8090 aus nicht vertrauenswürdigen Netzen erreichbar ist, auch über Reverse Proxies oder öffentliche Schnittstellen.
• Die Standard-Administratorzugangsdaten ändern oder die Admin-Konsole nach Möglichkeit deaktivieren.
• Tenant-App-Secrets erneuern, falls die Konsole möglicherweise erreicht wurde, und Administrator-Anmeldungen sowie Tenant-Änderungen prüfen.
• Überwachen, ob das Standard-Administratorkonto erneut angelegt wird.
• Eine korrigierte Version einspielen, sobald der Hersteller eine veröffentlicht; zum Zeitpunkt der Erstellung ist keine Korrektur bekannt.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE-Eintrag bei OpenCVE app.opencve.io
• VulnCheck advisory www.vulncheck.com
• HackMD write-up hackmd.io
• im-server repository github.com
• imserver-console accountservice.go (v1.0.10) github.com
• im-server sql/imserver.sql (v1.8.16) github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 01:33.