Lotus: Unzureichende Authentifizierung über das Präfix des Event-Ingestion-API-Schlüssels
Zusammenfassung
Lotus bis einschliesslich 0.10.2 weist in der Go-Middleware für die Event-Ingestion eine Authentifizierungsschwäche auf. Die Middleware prüft API-Schlüssel nur anhand des Präfixes und vergleicht das Geheimnis nicht mit dem gespeicherten Hash. Ein Angreifer, der ein gültiges API-Schlüssel-Präfix kennt oder erlangt, kann Nutzungsereignisse an POST /api/track/ im Namen der Organisation senden und so deren Nutzungs- und Abrechnungsdaten verfälschen.
Betroffen
- Lotus (uselotus/lotus) Versionen 0 bis 0.10.2
- Laut Herstellerdaten sind Versionen bis einschliesslich 0.10.2 betroffen; die Standardkonfiguration ist gemäss CVE-Eintrag nicht betroffen
Behoben in
Unbekannt.
Umgehung
- Kein vom Hersteller veröffentlichter Workaround gefunden.
- Zugriff auf POST /api/track/ auf vertrauenswürdige interne Dienste beschränken.
- API-Schlüssel betroffener Organisationen rotieren.
Ausnutzung
- CISA SSVC: Ausnutzung keine, nicht automatisierbar, partielle technische Auswirkung.
- Keine bekannte Ausnutzung gemeldet.
- Es existiert eine öffentliche technische Beschreibung; ein öffentlicher Proof of Concept ist nicht verifiziert.
Unsere Empfehlung
- Prüfen, ob Lotus im Einsatz ist, und Version sowie Erreichbarkeit des Ingestion-Endpunkts aus unvertrauenswürdigen Netzen ermitteln.
- Netzwerkzugriff auf den Ingestion-Endpunkt einschränken und API-Schlüssel rotieren.
- Nutzungs- und Abrechnungsdaten auf unerwartete Ereignisspitzen überwachen.
- Upstream-Repository auf eine korrigierte Version beobachten und zeitnah aktualisieren.
- Die weiteren am selben Tag veröffentlichten Lotus-CVEs in die Patch-Planung einbeziehen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- VulnCheck advisory www.vulncheck.com
- Lotus source code repository github.com
- Vulnerable code at tag 0.10.2 github.com
- Researcher write-up hackmd.io
- VulDB entry vuldb.com
- HOL Guard CVE entry hol.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 15:12.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.