rotki: Schwache Schlüsselableitung bei der Verschlüsselung von Premium-Cloud-Backups
Zusammenfassung
rotki vor 1.44.2 leitet den Schlüssel für Premium-Cloud-Backups aus dem Benutzerpasswort mit einem einzelnen, ungesalzenen SHA-256-Hash ab. Ein Angreifer, der ein hochgeladenes Backup erlangt, kann offline und GPU-beschleunigt Passwörter erraten und die Datenbank entschlüsseln. Diese enthält Exchange-API-Schlüssel, Geheimnisse, Wallet-Adressen und die Transaktionshistorie. Der Angreifer benötigt eine Kopie des Backup-Blobs, und die Umsetzbarkeit hängt vor allem von der Stärke des Passworts ab.
Betroffen
- rotki-Versionen 0 bis vor 1.44.2 (CNA-Eintrag)
Behoben in
- rotki 1.44.2 und neuer
- Premium-Backups nach dem Update neu erstellen. Rotki 1.44.1 und älter können Backups, die mit 1.44.2 erstellt wurden, nicht lesen.
Umgehung
Unbekannt. Für Benutzer, die nicht aktualisieren können, ist kein vom Hersteller dokumentierter Workaround bekannt.
Ausnutzung
- Keine bestätigte Ausnutzung in freier Wildbahn. Nicht im CISA-KEV-Katalog aufgeführt.
- Der Status eines öffentlichen PoC ist widersprüchlich und nicht bestätigt.
- CISA SSVC: Ausnutzung keine, nicht automatisierbar, partielle technische Auswirkung.
Unsere Empfehlung
- rotki auf allen Systemen auf 1.44.2 oder neuer aktualisieren.
- Premium-Cloud-Backups nach dem Update neu erstellen, da Backups im alten Format weiterhin ohne den stärkeren Schutz wiederhergestellt werden können.
- Für das rotki-Konto ein langes, einmaliges Passwort verwenden.
- Falls ein Backup möglicherweise offengelegt wurde, Exchange-API-Schlüssel erneuern und verknüpfte Wallets prüfen.
- Prüfen, ob die Premium-Cloud-Synchronisation in der Organisation genutzt wird. Für die meisten KMU ist das Risiko gering.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- rotki 1.44.2 release notes (fix) github.com
- rotki issue 13393 (technical description) github.com
- OpenCVE CVE-2026-116071 (CVE record summary) app.opencve.io
- Strix CVE-2026-116071 (CVSS and KEV status) www.strix.ai
- VulnCheck advisory (rotki before 1.44.2) www.vulncheck.com
- rotki premium documentation docs.rotki.com
- Sploitus CVE-2026-116071 (unverified PoC listing) sploitus.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 15:05.
Referenzen der NVD (7)
- https://github.com/rotki/rotki
- https://github.com/rotki/rotki/blob/v1.44.1/rotkehlchen/crypto.py#L17-L45
- https://github.com/rotki/rotki/blob/v1.44.1/rotkehlchen/data_handler.py#L263-L294
- https://github.com/rotki/rotki/issues/13393
- https://github.com/rotki/rotki/pull/13401
- https://github.com/rotki/rotki/releases/tag/v1.44.2
- https://www.vulncheck.com/advisories/rotki-before-1.44.2-weak-key-derivation-for-premium-cloud-backup-encrypt…
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.