JuggleIM im-server: Schwache Passwort-Hashes mit ungesalzenem SHA-1 für Admin-Konten
Zusammenfassung
JuggleIM im-server bis Version 1.8.16 speichert Passwörter der Admin-Konsole als ungesalzene SHA-1-Digests. Ein Angreifer, der die Tabelle accounts erlangt, zum Beispiel über Datenbankzugriff oder Backups, kann die Passwörter offline mit vorberechneten Tabellen oder GPU-Brute-Force knacken. Für den Angriff ist kein Remote-Zugriff auf den Dienst selbst nötig, wohl aber Lesezugriff auf die gespeicherten Kontodaten.
Betroffen
- JuggleIM im-server bis Version 1.8.16
Behoben in
Unbekannt.
Umgehung
- Zugriff auf die Datenbank und die Backups mit der Tabelle accounts einschränken und prüfen, wer sie lesen kann
- Alle Passwörter der Admin-Konsole durch lange, eindeutige, zufällige Passwörter ersetzen
- Admin-Konsole (Standardport 8090) vom Internet fernhalten und den Zugriff auf Management-Netze oder VPN beschränken
Ausnutzung
- Keine bekannte Ausnutzung in freier Wildbahn
- CISA-SSVC-Bewertung: Ausnutzung keine, nicht automatisierbar, partielle technische Auswirkung
- VulDB meldet, dass kein Exploit verfügbar ist
Unsere Empfehlung
- Prüfen, ob JuggleIM im-server bis Version 1.8.16 im Einsatz ist und wo die Admin-Konsole erreichbar ist
- Zugriff auf die Admin-Konsole und auf Datenbank-Backups einschränken
- Passwörter der Admin-Konsole durch lange, zufällige Passwörter ersetzen und auf unautorisierte Anmeldungen überwachen
- Die Repositories des Herstellers auf eine korrigierte Version prüfen und zeitnah aktualisieren
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- VulnCheck advisory: JuggleIM im-server weak password hashing www.vulncheck.com
- JuggleIM im-server repository github.com
- im-server sql/imserver.sql at v1.8.16 github.com
- imserver-console services/accountservice.go at v1.0.10 github.com
- OpenCVE: CVE-2026-111330 app.opencve.io
- VulDB: vulnerability 420968 vuldb.com
- Strix: CVE-2026-111330 www.strix.ai
- ThreatInt: CVE-2026-111330 cve.threatint.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 15:55.
Referenzen der NVD (5)
- https://github.com/juggleim/im-server
- https://github.com/juggleim/im-server/blob/v1.8.16/sql/imserver.sql#L3-L15
- https://github.com/juggleim/imserver-console/blob/v1.0.10/services/accountservice.go#L95
- https://hackmd.io/@hieuPenguinnn/juggleim-im-server-default-admin-credential
- https://www.vulncheck.com/advisories/juggleim-im-server-through-1.8.16-weak-password-hashing-via-unsalted-sha…
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.