Obot: Authentifizierungsumgehung im CLI-Login erlaubt Diebstahl von API-Schlüsseln
Zusammenfassung
Obot vor 0.26.0 enthält eine Schwachstelle im CLI-Login-Ablauf, durch die ein nicht authentifizierter Angreifer den API-Schlüssel eines angemeldeten Benutzers erlangen kann. Der Angreifer erstellt eine Token-Anfrage mit selbst gewählter ID, sendet den Login-Link an das Opfer und ruft anschliessend den daraus resultierenden, nicht ablaufenden API-Schlüssel ab. Wenn das Opfer nur den Link öffnet, kann der Angreifer das Konto übernehmen, bei einem Administrator sogar mit Administrationsrechten.
Betroffen
- Obot-Versionen vor 0.26.0, einschliesslich v0.25.x bis v0.25.6
- Herstellerhinweis und OSV listen alle Versionen unterhalb 0.26.0 als betroffen
Behoben in
- Auf Obot 0.26.0 oder neuer aktualisieren
Umgehung
- Unbekannt. Für Versionen vor 0.26.0 ist kein vom Hersteller dokumentierter Workaround verfügbar.
- Das Blockieren von POST /api/token-request an einem Proxy verhindert den Angriff, deaktiviert aber auch den CLI-Login.
Ausnutzung
- In den geprüften Quellen nicht als aktiv ausgenutzt markiert (CISA KEV: nein).
- CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
- Kein öffentlicher Proof of Concept gefunden; Status unbekannt.
Unsere Empfehlung
- Alle Obot-Instanzen vorrangig auf 0.26.0 oder neuer aktualisieren, insbesondere wenn sie aus nicht vertrauenswürdigen Netzen erreichbar sind.
- Zugriff auf die Obot-Web- und API-Endpunkte bis zur Aktualisierung auf vertrauenswürdige Netze oder VPN beschränken.
- Über CLI-Login ausgestellte API-Schlüssel prüfen und alle widerrufen, die keinem bekannten Benutzer zugeordnet werden können.
- API-Logs auf ungewöhnliche Token-Anfragen und unerwartete Anmeldungen überwachen.
- Benutzer darauf hinweisen, keine unaufgeforderten Obot-Login-Links zu öffnen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-2qcm-3gv6-2mfc github.com
- VulnCheck advisory: Obot before 0.26.0 API Key Theft via CLI Login Token Request www.vulncheck.com
- OSV: CVE-2026-114662 osv.dev
- Obot release v0.26.0 github.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 07:16.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.