netdisk-fast-download: Informationsoffenlegung im Endpunkt /v2/randomAuth

Zusammenfassung

netdisk-fast-download bis einschliesslich Version 0.4.8 legt gespendete Zugangsdaten zu Cloud-Speicherdiensten offen. Der nicht authentifizierte Endpunkt /v2/randomAuth liefert verschlüsselte Zugangsdaten-Blobs, die sich mit einem fest codierten AES-Schlüssel entschlüsseln lassen, der im Projekt öffentlich dokumentiert ist. Ein Angreifer kann den Endpunkt wiederholt aufrufen und so Cookies, Tokens oder Passwörter anderer Benutzer für Cloud-Speicher-Konten abgreifen, was unberechtigten Zugriff auf diese Konten ermöglicht.

Betroffen

• netdisk-fast-download, Versionen 0 bis und mit 0.4.8
• Standardkonfiguration, bei der authEncryptKey nicht auf einen eigenen Wert gesetzt ist

Behoben in

Unbekannt. Es ist keine korrigierte Version bestätigt.

Umgehung

• Keine Zugangsdaten für Cloud-Speicher an öffentliche Instanzen des Dienstes senden.
• Auf selbst betriebenen Instanzen einen eigenen authEncryptKey setzen. Ob dadurch die Offenlegung über /v2/randomAuth verhindert wird, ist nicht verifiziert.
• /v2/randomAuth auf einem Reverse Proxy einschränken oder blockieren. Dies ist nicht verifiziert und kann die Funktionalität beeinträchtigen.

Ausnutzung

• CISA-SSVC-Bewertung: Exploitation-Status 'poc', automatisierbar: ja, technische Auswirkung: teilweise.
• Es existiert eine öffentliche Beschreibung (HackMD). Ob sie lauffähigen Exploit-Code enthält, ist nicht bestätigt.
• Es wurden keine Hinweise auf eine aktive Ausnutzung in freier Wildbahn gefunden.

Unsere Empfehlung

• Jedes Cloud-Speicher-Zugangsdatum, das jemals an diesen Dienst übermittelt wurde, als kompromittiert betrachten und rotieren.
• Prüfen, ob netdisk-fast-download in der Umgebung eingesetzt wird, einschliesslich selbst betriebener Instanzen, und exponierte Instanzen identifizieren.
• Auf eine korrigierte Version aktualisieren, sobald eine verfügbar ist, oder den Zugriff auf den Dienst einschränken.
• Logs auf ungewöhnlich hohe Anzahl von Anfragen an /v2/randomAuth prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• netdisk-fast-download GitHub repository github.com
• AuthParamCodec.java at v0.4.8 github.com
• ParserApi.java at v0.4.8 github.com
• VulnCheck advisory www.vulncheck.com
• HackMD write-up on randomAuth credential disclosure hackmd.io
• GitHub issue #276: hardcoded default AES key github.com
• VulDB entry 421367 vuldb.com
• Vulners MEND:CVE-2026-111612 vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 02:15.