Kener: Authentifizierungsumgehung durch fest codierten Fallback-Schlüssel

Zusammenfassung

Kener, eine Open-Source-Anwendung für Status-Seiten, verwendet einen fest codierten Fallback-Schlüssel (DUMMY_SECRET) zum Signieren und Prüfen von Session-Tokens, wenn KENER_SECRET_KEY leer oder nicht gesetzt ist. Ein nicht authentifizierter Angreifer, der die E-Mail-Adresse eines Administrators kennt, kann ein Session-Cookie fälschen und so mit vollen Administratorrechten auf die Management-API zugreifen oder Passwort-Reset-Tokens fälschen. Der Angriff setzt voraus, dass kein Geheimschlüssel konfiguriert ist.

Betroffen

• Kener 3.0.0 bis und mit 4.1.9 (ausser 4.1.10 und höher)
• Docker-Images rajnandan1/kener 3.x sowie 4.0.x bis 4.1.9 (inklusive alpine-Varianten)

Behoben in

• Behoben in Kener 4.1.10 (Upstream-Release v4.1.10, Changelog: fest codierten Fallback-Schlüssel entfernt und Warnung bei Beispiel-Schlüsseln ergänzt)

Umgehung

• KENER_SECRET_KEY auf einen langen, eindeutigen Zufallswert setzen, damit der Fallback-Schlüssel nie verwendet wird (vom Hersteller dokumentierte Massnahme nicht verifiziert)
• Zugriff auf den Management-Bereich und /manage/api am Reverse Proxy oder an der Firewall einschränken (eigene Empfehlung, keine Herstelleraussage)

Ausnutzung

• Nicht als aktiv ausgenutzt gelistet; kein Eintrag im CISA-KEV-Katalog gefunden
• Kein öffentlicher Proof of Concept gefunden
• Am 27. Okt. 2026 wurde ein Nuclei-Template-Pull-Request für diese CVE eröffnet, daher ist Scan-Aktivität plausibel

Unsere Empfehlung

• Prüfen, ob eine aus dem Internet erreichbare Kener-Instanz Version 3.x oder 4.0.x bis 4.1.9 einsetzt
• Prioritär auf Kener 4.1.10 oder neuer aktualisieren
• KENER_SECRET_KEY auf einen starken Zufallswert setzen und sicherstellen, dass er nicht leer ist
• Den Schlüssel nach dem Update rotieren, da gefälschte Sessions bereits bestehen könnten
• Administratorkonten und kürzliche Passwort-Resets überprüfen
• Zugriff auf den Admin-Bereich nach Möglichkeit einschränken und Zugriffe auf /manage/api auf Auffälligkeiten überwachen

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Kener v4.1.10 release github.com
• Kener issue #871 github.com
• Fix commit ff63648 github.com
• VulnCheck advisory www.vulncheck.com
• Vulnerable code at v4.1.9 github.com
• Kener GitHub repository github.com
• VulDB CVE-2026-116747 vuldb.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 04:01.