OpenText Advanced Authentication Server: Unzureichendes Vertrauen in nicht vertrauenswürdige Daten bei der Anmeldung

Zusammenfassung

OpenText Advanced Authentication Server, eine Plattform für Multi-Faktor-Authentifizierung, vertraut zusätzlichen, nicht vertrauenswürdigen Daten auf eine Weise, die einem Angreifer den Zugriff auf Funktionen erlaubt, die durch Zugriffskontrollen geschützt sein sollten. Der CNA beschreibt dies als Umgehung der Anmeldung, doch der NVD-Eintrag war zum Zeitpunkt der Recherche noch in Analyse und die Schwachstellenklassifizierung unterscheidet sich zwischen den Quellen. Die Hersteller-Advisories nennen die betroffenen Bereiche; laut CVSS-v4-Vektor ist der Angriff über das Netzwerk möglich und erfordert weder Berechtigungen noch Benutzerinteraktion.

Betroffen

• OpenText Advanced Authentication Server 6.4.0.0 bis 6.4.3.8
• OpenText Advanced Authentication Server 6.5.0.0 bis 6.5.0.10
• OpenText Advanced Authentication Server 6.6.0.0 bis 6.6.1.0

Behoben in

Unbestätigt. Aus den Titeln der Hersteller-Advisory-Seiten abgeleitet, im Advisory zu überprüfen:

• 6.4: 6.4.3.9
• 6.5: 6.5.0.11
• 6.6: 6.6.2

Umgehung

Unbekannt. Es wurde kein vom Hersteller veröffentlichter Workaround gefunden; das Einspielen von Patches ist die einzige dokumentierte Massnahme.

Ausnutzung

• VulDB gibt an, dass kein Exploit verfügbar ist.
• Laut einem Drittanbieter-Tracker nicht im CISA-KEV-Katalog aufgeführt; der CISA-Katalog wurde nicht direkt geprüft.
• Der EPSS-Wert beträgt 0.25 % (Perzentil 16).
• Es wurden keine öffentlichen Proof-of-Concepts oder Berichte über Ausnutzung in freier Wildbahn gefunden.

Unsere Empfehlung

• Alle Instanzen von OpenText Advanced Authentication Server und deren genaue Versionen inventarisieren.
• Prüfen, ob eine Instanz aus dem Internet erreichbar ist, und den Zugriff wo möglich einschränken.
• Das Upgrade auf die im Hersteller-Advisory genannte Fixversion planen und die Zielversion dort bestätigen.
• Auf Aufnahme in den CISA-KEV-Katalog und öffentliche Proof-of-Concepts achten und den NVD-Eintrag nach der Analyse erneut prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• OpenText Documentation Portal: Security improvements 6.6.2 (26.3.1) docs.microfocus.com
• OpenText Documentation Portal: Security improvements 6.4.3.9 docs.microfocus.com
• OpenText Documentation Portal: Security improvements 6.5.0.11 docs.microfocus.com
• VulDB entry CVE-2026-112256 vuldb.com
• Threatint CVE record CVE-2026-112256 cve.threatint.com
• Strix CVE-2026-112256 www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 03:55.