CheckCle: Fehlende Autorisierung durch leere PocketBase-API-Regeln

Zusammenfassung

CheckCle bis Version 1.6.0 liefert PocketBase-Collections mit leeren API-Regeln aus, wodurch die Zugriffsprüfungen nicht durchgesetzt werden. Ein nicht authentifizierter Angreifer aus dem Netzwerk kann die Record-Endpunkte der Collections abfragen, um server_token-Werte und Geheimnisse der Alarmkonfiguration auszulesen, Alarmierungen zu verändern oder zu deaktivieren, Status-Seiten zu manipulieren oder Überwachungsdaten zu löschen. Es ist keine Benutzerinteraktion erforderlich.

Betroffen

• CheckCle bis Version 1.6.0 (operacle/checkcle)
• Standardkonfiguration im Auslieferungszustand, gemäss CVE-Beschreibung

Behoben in

Unbekannt. Es ist keine korrigierte Version bestätigt. Das Fix-Commit f2c338ced9162b7820b2495e298d5578df92bf75 wird im CVE referenziert, die Version mit diesem Commit konnte jedoch nicht verifiziert werden.

Umgehung

• Instanz nicht aus dem Internet erreichbar machen; Zugriff über VPN, Management-Netzwerk oder Firewall-/Reverse-Proxy-Allowlist einschränken
• Wo möglich, eine Authentifizierungsschicht vor die Anwendung schalten
• server_token-Werte sowie Alarm- und Benachrichtigungsgeheimnisse, die möglicherweise offengelegt wurden, rotieren
• Logs auf nicht authentifizierte Anfragen an /api/collections/-Pfade prüfen und auf geänderte oder gelöschte Daten kontrollieren
• Einschränkung der Collection-Regeln auf authentifizierten Zugriff vorab testen und pb_data zuvor sichern

Ausnutzung

• Gemäss den geprüften Quellen nicht bekannt, dass die Schwachstelle aktiv ausgenutzt wird
• CISA SSVC: Exploitation none, Automatable yes, Technical Impact total
• Nicht im KEV-Katalog; EPSS unter 1 %
• Kein öffentlicher Proof of Concept gefunden

Unsere Empfehlung

• Prüfen, ob CheckCle von ausserhalb des Netzwerks erreichbar ist, und den Zugriff bei Erreichbarkeit sofort einschränken
• Sobald eine korrigierte Version bestätigt ist, das Update einspielen; bis dahin die oben genannten Workarounds umsetzen
• In CheckCle gespeicherte Zugangsdaten und Alarmgeheimnisse rotieren
• Logs und Überwachungsdaten auf unautorisierte Änderungen oder Löschungen prüfen
• Issue-Tracker und Release-Seite des Herstellers auf ein Update beobachten

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE record details (OpenCVE) app.opencve.io
• VulnCheck advisory www.vulncheck.com
• Vulnerable schema file at v1.6.0 github.com
• Fix commit f2c338c github.com
• CheckCle issue #214 github.com
• VulDB entry vuldb.com
• PocketBase API rules and filters pocketbase.io
• CheckCle releases github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 01:16.