OtterMind Nubase: Fehlende Authentifizierung in Storage-Objekt-API

Zusammenfassung

OtterMind Nubase bis 0.1.4 behandelt den Storage-Objekt-Endpunkt /storage/v1/object/{bucketId}/{path} für jede HTTP-Methode als öffentlich, daher ist keine Anmeldung erforderlich. Ein nicht authentifizierter Angreifer, der Tenant-Subdomain, Bucket-ID und Objektpfad kennt, kann Objekte aus privaten Buckets herunterladen und gespeicherte Objekte ohne apikey oder JWT löschen. Die CVE ist mit CVSS 4.0 8.3 (High) bewertet, und CISA SSVC führt die Ausnutzung als none auf.

Betroffen

• OtterMind Nubase 0 bis 0.1.4 (einschliesslich), gemäss CVE-Eintrag
• Quellcode geprüft: Tag v0.1.4

Behoben in

Unbekannt. Es wurde keine korrigierte Version und keine Sicherheitsmitteilung des Herstellers gefunden.

Umgehung

• Die Nubase-Storage-API nicht direkt dem Internet aussetzen. Den Zugriff auf VPN oder interne Netze beschränken oder über einen Reverse Proxy mit Allow-List absichern.
• Nicht authentifizierte Anfragen an /storage/v1/object/ auf Proxy-Ebene blockieren, sofern die Anwendung dies nicht benötigt (vorgängig in der eigenen Umgebung prüfen).
• Prüfen, welche Buckets privat sind und welche Inhalte sie enthalten.

Ausnutzung

• Es wurden keine Hinweise auf aktive Ausnutzung gefunden, und es wurde kein Eintrag im CISA KEV gefunden.
• CISA SSVC: Ausnutzung none, automatisierbar no, technische Auswirkung partial.
• Ein Drittanbieter-Bericht wird referenziert. Dessen Inhalt wurde nicht überprüft, ein öffentlicher Proof of Concept ist nicht bestätigt.

Unsere Empfehlung

• Prüfen, ob eine Nubase-Instanz betrieben wird und ob sie aus dem Internet erreichbar ist.
• Falls sie exponiert ist und kein Herstellerfix verfügbar ist, den Zugriff umgehend einschränken.
• Logs des Storage-Endpunkts auf unerwartete Objekt-Downloads und Löschungen prüfen.
• Bei vermuteter Exponierung Secrets und Zugangsdaten rotieren, die in betroffenen Buckets gespeichert waren.
• Den Hersteller nach einem Zeitplan für einen Fix fragen und die GitHub-Releases beobachten.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• VulnCheck advisory www.vulncheck.com
• OSV: CVE-2026-111701 osv.dev
• VulDB: CVE-2026-111701 vuldb.com
• Nubase StorageObjectReadController.java at v0.1.4 github.com
• Nubase StorageService.java at v0.1.4 github.com
• Nubase UnifiedMultiTenancyFilter.java at v0.1.4 github.com
• Third-party write-up (HackMD, unverified) hackmd.io

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 13:37.