OpenBMB StaffDeck: Authentifizierungsumgehung über fest codiertes Session-Signaturgeheimnis

Zusammenfassung

OpenBMB StaffDeck bis Version 0.5.6 verwendet ein fest codiertes Standard-app_secret zum Signieren von Session-Token. Ein nicht authentifizierter Angreifer aus dem Netzwerk kann bei Kenntnis dieses Standardwerts ein HMAC-SHA256-Token für den vorhandenen Admin-Benutzer in tenant_demo fälschen und erhält volle Administrationsrechte im Mandanten. Dazu gehören gespeicherte Modell- und Kanal-Zugangsdaten. Für den Angriff ist keine Benutzerinteraktion nötig, der Standardwert muss jedoch noch verwendet werden.

Betroffen

• OpenBMB StaffDeck 0 bis 0.5.6
• Standardkonfiguration (app_secret nicht geändert) ist betroffen

Behoben in

Unbekannt. Es ist keine korrigierte Version bestätigt.

Umgehung

• APP_SECRET vor dem ersten Start auf einen langen Zufallswert setzen, nachdem geprüft wurde, dass der Code diese Variable verwendet (noch nicht verifiziert)
• APP_SECRET bei einer bestehenden Installation nicht ohne Migrationsplan ändern, da die Verschlüsselung der Kanal-Zugangsdaten davon abhängt
• Netzwerkzugriff auf den Dienst beschränken (nur LAN oder VPN); Port 5173 nicht veröffentlichen
• Das standardmässige Administrator-Passwort (admin/admin) ändern

Ausnutzung

• VulDB gibt an, dass kein Exploit verfügbar ist (Aussage eines Drittanbieters)
• Keine Hinweise auf Ausnutzung in freier Wildbahn und kein Eintrag im CISA-KEV-Katalog gefunden
• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total
• Das Geheimnis ist im Quellcode öffentlich einsehbar, daher ist die Ausnutzung technisch einfach, sobald der Standardwert bekannt ist

Unsere Empfehlung

• Prüfen, ob StaffDeck im Einsatz ist, welche Version läuft und ob der Dienst aus dem Internet erreichbar ist
• Internetexposition entfernen, bis eine korrigierte Version verfügbar ist
• Standard-app_secret nach einem Test auf einer Kopie durch einen eindeutigen Zufallswert ersetzen
• Standard-Administrator-Passwort ändern und Protokolle auf Anmeldungen von unbekannten IP-Adressen prüfen
• Modell-API-Schlüssel und Kanal-Bot-Geheimnisse rotieren, falls die Instanz exponiert war
• Das Herstellerrepository auf eine Korrektur prüfen und bei Verfügbarkeit aktualisieren

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE-2026-111636 reference: StaffDeck config.py at v0.5.6 github.com
• CVE-2026-111636 reference: StaffDeck auth.py at v0.5.6 github.com
• HackMD write-up: StaffDeck default token signing secret auth bypass hackmd.io
• VulnCheck advisory: OpenBMB StaffDeck authentication bypass via hard-coded session secret www.vulncheck.com
• VulDB entry for CVE-2026-111636 vuldb.com
• Mend/Vulners entry for CVE-2026-111636 vulners.com
• StaffDeck project repository github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 04:21.