Misaka Danmu Server: Authentifizierungsumgehung über Config-History-Rollback

Zusammenfassung

Misaka Danmu Server bis Version 2.8.9 enthält eine Authentifizierungsumgehung im ungeschützten Endpunkt POST /api/ui/config-history/rollback. Ein nicht authentifizierter Angreifer kann beliebige Konfigurationsschlüssel schreiben, zum Beispiel den Schlüssel ipWhitelist auf seine eigene Adresse setzen oder trustedProxies und webhookApiKey ändern. Dadurch erhält er Zugriff auf alle geschützten Endpunkte mit Administratorrechten.

Betroffen

• Misaka Danmu Server bis 2.8.9
• Standardkonfiguration: nicht betroffen (gemäss CVE-Eintrag)

Behoben in

• Korrigierte Version: 2.9.0 gemäss VulDB (Aussage eines Drittanbieters, noch nicht in den Release-Notes des Herstellers bestätigt)
• Sicherheitshinweis des Herstellers: Unbekannt.

Umgehung

• Unbekannt: kein vom Hersteller bestätigter Workaround.
• Zugriff auf /api/ui/config-history/rollback über Firewall-Regeln auf vertrauenswürdige interne IP-Bereiche beschränken, wie von VulDB empfohlen.
• Admin-Oberfläche und API nicht im Internet exponieren; nur Zugriff über LAN oder VPN zulassen.

Ausnutzung

• Der Angriff erfordert keine Authentifizierung und keine Benutzerinteraktion (CVSS 4.0 AV:N/AC:L/PR:N/UI:N).
• CISA SSVC: Exploitation-Status 'poc', automatisierbar: ja, technische Auswirkung: total.
• Known Exploited (KEV): nein.
• Ein funktionsfähiger öffentlicher Proof of Concept konnte nicht verifiziert werden.
• Remote Code Execution wird vom CVE-Text nicht gestützt und ist unbestätigt.

Unsere Empfehlung

• Asset-Inventar und externe Scans auf Misaka Danmu Server prüfen, auch auf NAS, Homelab, Medienservern und Docker-Containern.
• Falls gefunden und aus dem Internet erreichbar: Zugriff einschränken oder den Dienst sofort ausser Betrieb nehmen.
• Auf eine Version neuer als 2.8.9 aktualisieren, nachdem die korrigierte Version auf der GitHub-Releases-Seite des Projekts bestätigt wurde.
• ipWhitelist, trustedProxies und webhookApiKey auf unerwartete Werte prüfen; bei Exposition Webhook-Schlüssel und Administratorzugangsdaten erneuern.
• Logs auf nicht erklärbare Config-History-Rollback-Anfragen prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• NVD/CVE record references: GitHub config_history.py (v2.8.9) github.com
• GitHub security.py (v2.8.9) github.com
• HackMD write-up: missing authentication hackmd.io
• VulnCheck advisory www.vulncheck.com
• VulDB CVE entry vuldb.com
• Project repository github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 01:26.