Uniong WebITR: Unsichere Deserialisierung mit fest codiertem kryptografischem Schlüssel
Zusammenfassung
Uniong WebITR in den Versionen 2_1_0_34 und älter enthält eine unsichere Deserialisierung (CWE-502). Ein authentifizierter Angreifer aus dem Netzwerk kann mit einem fest codierten kryptografischen Schlüssel manipulierte serialisierte Daten erstellen und übermitteln, wodurch beliebiger Code auf dem Server ausgeführt wird. Der Angreifer benötigt einen gültigen Login, doch jede Schwachstelle, die den Login offenlegt oder umgeht, würde die Ausnutzung erleichtern. Der CNA bewertet den CVSS-4.0-Basiswert mit 8.7 (hoch); die Analyse durch die NVD steht noch aus.
Betroffen
- WebITR 2_1_0_34 und älter (Bereich 0 bis 2_1_0_34 gemäss CNA-Eintrag)
Behoben in
- Auf WebITR 2_1_0_36 oder neuer aktualisieren (gemäss CNA-Eintrag und TWCERT/CC)
- Ob 2_1_0_35 behoben ist, geht aus den Quellen nicht hervor.
- Eine Bestätigung der behobenen Version durch den Hersteller wurde nicht gefunden.
Umgehung
- Eine Umgehungsmassnahme ist in den Quellen nicht dokumentiert.
- Die Aktualisierung auf 2_1_0_36 oder neuer ist die Massnahme.
Ausnutzung
- Gemäss den Quellen ist keine Ausnutzung bekannt; die CVE ist nicht im CISA-KEV-Katalog.
- Kein öffentlicher Proof of Concept gefunden; VulDB gibt an, dass kein Exploit verfügbar ist.
- CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
- EPSS-Wert 0.35%.
Unsere Empfehlung
- WebITR-Installationen und deren Versionen in Kundenumgebungen erfassen.
- Alle Instanzen unter 2_1_0_36 auf 2_1_0_36 oder neuer aktualisieren; öffentlich erreichbare Instanzen zuerst.
- Zugriff auf die WebITR-Administrationsoberfläche auf Management-Netze oder VPN beschränken.
- Bestehende Benutzerkonten prüfen und nicht benötigte entfernen.
- Auf exponierten Systemen die Logs auf Anzeichen einer früheren Kompromittierung prüfen.
- Die behobene Version beim Hersteller bestätigen, da das Herstelleradvisory nicht gefunden wurde.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- TWCERT/CC TVN-202610005 (English) www.twcert.org.tw
- TWCERT/CC TVN-202610005 (Chinese) www.twcert.org.tw
- OpenCVE CVE-2026-113404 app.opencve.io
- VulDB CVE-2026-113404 vuldb.com
- VulDB 422680 (exploit status) vuldb.com
- HOL CVE-2026-113404 hol.org
- Strix CVE-2026-113404 www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 01:35.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.