DataBuff ai-apm-web: Fest codierte Standard-Administratorzugangsdaten

Zusammenfassung

DataBuff ai-apm-web bis Version 0.1.10 enthält ein integriertes Administratorkonto mit einem fest codierten, öffentlich dokumentierten Standardpasswort. Ein nicht authentifizierter Angreifer, der den Login-Endpunkt /webapi/api/v1/auth/login erreichen kann, erhält ein Administrator-Token und somit Zugriff auf alle geschützten /webapi-Routen. Da APM-Administratoren in der Regel überwachte Systeme einsehen und die Überwachungskonfiguration ändern können, kann die Auswirkung über das APM-Tool selbst hinausgehen.

Betroffen

• DataBuff ai-apm-web, Versionen 0 bis 0.1.10 (Hersteller-Repository: databufflabs/databuff)
• Standardkonfiguration: Das integrierte Administratorkonto ist aktiv.

Behoben in

Unbekannt. Es wurde weder eine Herstellerwarnung noch eine korrigierte Version bestätigt. Die Releases und Tags des Hersteller-Repositorys auf eine Version über 0.1.10 prüfen.

Umgehung

• Netzwerkzugriff auf die DataBuff ai-apm-web-Instanz einschränken, insbesondere auf den Login-Endpunkt /webapi/api/v1/auth/login, und die Instanz vom öffentlichen Internet fernhalten.
• Die Administrationsoberfläche hinter einem VPN oder einem identitätsbasierten Proxy betreiben.
• Beim Hersteller nachfragen, ob das integrierte Konto deaktiviert oder entfernt werden kann. Das Passwort lässt sich als Massnahme nicht ändern, weil das Konto fest codiert ist.

Ausnutzung

• In den geprüften Quellen gibt es keine Hinweise auf eine Ausnutzung in freier Wildbahn. Der Status im CISA-KEV-Katalog wurde nicht direkt geprüft.
• CISA-SSVC-Bewertung: Ausnutzung 'poc', automatisierbar 'yes', technische Auswirkung 'total'.
• Für jede Person, die den Login-Endpunkt erreichen kann, ist mit geringem Aufwand zu rechnen.

Unsere Empfehlung

• Prüfen, ob eine DataBuff ai-apm-web-Instanz existiert, auch Test-, Demo- oder vom Hersteller gehostete Systeme, und ob sie aus dem Internet erreichbar ist.
• Den Zugriff auf die Instanz sofort einschränken, zuerst auf den Login-Endpunkt.
• Administrator-Logins, neue Benutzer, Sitzungen und Änderungen an der Überwachungskonfiguration prüfen. Eine Kompromittierung annehmen, falls eine exponierte Instanz vor der Einschränkung erreichbar war.
• Auf erfolgreiche POST-Anfragen an /webapi/api/v1/auth/login aus unerwarteten Quellen achten.
• Ein Update planen, sobald eine korrigierte Version bestätigt ist. Zusätzlich CVE-2026-111692 prüfen, eine separate Authentifizierungsumgehung im selben Produkt.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• DataBuff GitHub repository github.com
• Vulnerable code, DataBuff v0.1.10 (PortalUserManagementService.java) github.com
• VulnCheck advisory: DataBuff ai-apm-web hard-coded default admin credentials www.vulncheck.com
• VulDB entry CVE-2026-111693 vuldb.com
• Strix CVE entry CVE-2026-111693 www.strix.ai
• The Hacker Wire: CVE-2026-111693 www.thehackerwire.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 01:25.