OpenRemote Manager: Fehlende Autorisierung in Gateway-Tunnel-Endpunkten

Zusammenfassung

Vier von fünf Gateway-Tunnel-Endpunkten im OpenRemote Manager verfügen über keine Autorisierungsprüfung, darunter auch die Endpunkte zum Starten und Stoppen von Tunneln. Jeder authentifizierte Benutzer, auch ohne administrative Rolle, kann einen persistenten bidirektionalen TCP-Tunnel in das Netzwerk eines Edge-Gateways öffnen und von Operatoren genutzte Tunnel beenden. Der CVSS-4.0-Wert von 9.0 (Critical) stammt von NVD und VulnCheck; die Angaben des Advisory zur Ausnutzbarkeit sind nicht vollständig bestätigt.

Betroffen

• OpenRemote 1.2.0 bis unter 1.31.0 (openremote-manager, Maven: io.openremote)
• Gemäss Advisory sind alle Versionen mit Gateway-Tunnelung von 1.2.0 bis 1.30.1 betroffen

Behoben in

• Behoben in OpenRemote 1.31.0
• Hinweis zum Upgrade: Version 1.31.0 führt die Rollen read:tunnels und write:tunnels ein. Benutzer ohne vollständige READ- und/oder WRITE-Berechtigungen (Composite-Rollen) verlieren den Zugriff auf alle Tunnelfunktionen, bis diese Rollen zugewiesen sind, entweder auf der Benutzerseite in der Manager-UI oder in Keycloak.

Umgehung

• Kein Workaround des Herstellers gefunden. Das Advisory nennt als einzige Massnahme das Upgrade auf 1.31.0.
• Übergangsmassnahmen (nicht aus Herstellerquellen): Die Anzahl der Konten auf dem Manager einschränken und den Netzwerkzugriff auf die Manager-API begrenzen, zum Beispiel mit einer Allow-List im Reverse Proxy.

Ausnutzung

• In den geprüften Quellen nicht als aktiv ausgenutzt (KEV: No) gekennzeichnet.
• CISA SSVC: Ausnutzungsstatus poc, automatisierbar nein, technische Auswirkung total.
• Das GitHub-Advisory enthält Details zur Reproduktion auf Request-Ebene; ein separates öffentliches Exploit-Repository wurde nicht gefunden.

Unsere Empfehlung

• Alle OpenRemote-Instanzen und Edge-Gateways identifizieren und auf Versionen von 1.2.0 bis 1.30.x prüfen.
• Das Upgrade auf 1.31.0 planen und die neuen Rollen read:tunnels und write:tunnels vorab vorbereiten, damit Benutzer weiterhin Zugriff haben.
• Bis zur Behebung Benutzerkonten überprüfen (gemeinsam genutzte oder überprivilegierte Konten entfernen) und den Netzwerkzugriff auf den Manager einschränken.
• Bestehende Gateway-Tunnel sowie Zugriffsprotokolle auf unerwartete Tunnelaktivitäten prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-5h8w-vg25-fw38 github.com
• VulnCheck advisory: OpenRemote Missing Authorization in Gateway Tunnel Endpoints www.vulncheck.com
• OpenRemote release 1.31.0 github.com
• CVE-2026-114661 summary (threatint) cve.threatint.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 08:04.