ChronoFrame: Fehlende Authentifizierung in Setup-Wizard-API erlaubt Neukonfiguration

Zusammenfassung

ChronoFrame bis einschliesslich 1.0.0 erlaubt nicht authentifizierten Angreifern, die API des Setup-Wizards auf einer bereits konfigurierten Instanz aufzurufen. Durch einen POST an /api/wizard/storage kann ein Angreifer einen von ihm kontrollierten S3- oder OpenList-Speicheranbieter aktivieren, wodurch Uploads und Speicherzugriffe umgeleitet werden, und zudem Website- und Karteneinstellungen überschreiben. Für den Angriff genügt Netzwerkzugriff auf die Webanwendung ohne Anmeldung, weshalb öffentlich erreichbare Instanzen am stärksten gefährdet sind.

Betroffen

• HoshinoSuzumi ChronoFrame, Versionen 0 bis einschliesslich 1.0.0, gemäss CNA-Eintrag
• Docker-Images mit den Tags latest oder v1.0.0 sind die dokumentierten Bereitstellungswege
• Genaue betroffene Commits: Unbekannt.

Behoben in

Unbekannt. Zum Zeitpunkt der Recherche wurde keine korrigierte Version und keine Herstellerwarnung gefunden.

Umgehung

• Zugriff auf /api/wizard/ am Reverse Proxy oder an der Firewall sperren oder einschränken, sodass nur Administratoren aus einem Management-Netz sie erreichen
• Die Instanz hinter einem VPN, SSO oder einem Access Proxy betreiben
• Storage-Anbieter, S3-Endpunkt und Bucket, Website-Einstellungen sowie Karteneinstellungen auf unerwartete Änderungen prüfen

Ausnutzung

• CISA SSVC (gemäss CVE-Eintrag): Exploitation: poc, Automatable: yes, Technical Impact: partial
• Eine öffentliche Analyse eines Forschers existiert; deren Inhalt wurde nicht verifiziert
• Während der Recherche wurde kein öffentlicher Proof-of-Concept-Code gefunden, und eine Ausnutzung in freier Wildbahn ist nicht bekannt. Dies ist kein Beweis für das Gegenteil.

Unsere Empfehlung

• Alle ChronoFrame- und Fork-Instanzen bei allen Kunden inventarisieren, einschliesslich der Docker-Image-Version
• /api/wizard/ und Admin-Pfade auf öffentlich erreichbaren Instanzen sofort einschränken
• Storage- und Website-Einstellungen sowie S3- oder OpenList-Zugangsdaten auf Manipulationen prüfen; bei Verdacht Zugangsdaten rotieren
• Instanz nicht ohne Zugriffskontrolle öffentlich zugänglich machen
• Upstream-Repository sowie den NVD- und CISA-Eintrag auf eine Korrektur überwachen und nach deren Veröffentlichung umgehend aktualisieren

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE record references: GitHub repository github.com
• Vulnerable code: server/api/wizard/storage.post.ts at v1.0.0 github.com
• VulnCheck advisory www.vulncheck.com
• Researcher write-up (HackMD) hackmd.io
• Vulners / MEND record vulners.com
• Strix CVE record www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 15:58.