nest-admin: Authentifizierungsumgehung über hartcodiertes JWT-Geheimnis

Zusammenfassung

nest-admin, ein Open-Source-Admin-Backend auf Basis von NestJS, wird mit einem festen JWT-Signaturgeheimnis ausgeliefert, das in der Datei .env.production hinterlegt ist. Ein nicht authentifizierter Angreifer aus dem Netzwerk, der dieses öffentliche Geheimnis kennt, kann Administrator-Token fälschen, sich als beliebige Benutzer-ID ausgeben oder die Admin-Rolle beanspruchen und so volle Administrationsrechte erlangen. Für die Ausnutzung genügt, dass eine verwundbare Instanz erreichbar ist und das hinterlegte Geheimnis verwendet.

Betroffen

• nest-admin-Versionen vor 1.0.1
• Instanzen, die aus den Umgebungsdateien des Repositories oder mit den hinterlegten Werten für JWT_SECRET und REFRESH_TOKEN_SECRET bereitgestellt wurden
• VulDB listet Versionen bis 1.0.0; die vollständige Versionshistorie wurde nicht verifiziert.

Behoben in

• Version 1.0.1 (Commit f2cec8cb776cbf113115b33164dac69a46d24097)
• Hinterlegte Geheimnisse entfernt; der Server startet nicht bei fehlenden, zu kurzen (unter 32 Zeichen) oder platzhalterhaften Geheimnissen
• Rollen werden aus der Datenbank geladen; akzeptiert werden nur vom Server ausgestellte Zugriffstoken

Umgehung

• Keine Workaround-Lösung durch den Hersteller dokumentiert.
• Den Zugriff auf die nest-admin-Oberfläche mit Netzwerksegmentierung oder IP-Allowlists einschränken, sodass sie nicht aus dem Internet erreichbar ist. Dies behebt die Schwachstelle für interne Benutzer nicht.

Ausnutzung

• Keine bekannte Ausnutzung in freier Wildbahn.
• VulDB meldet keinen öffentlichen Exploit; das Geheimnis ist jedoch im Repository öffentlich, daher ist die Ausnutzung nach dem Auffinden einer Instanz trivial.
• CISA SSVC: automatisierbar ja, technische Auswirkung total.

Unsere Empfehlung

• Alle nest-admin-Instanzen inventarisieren, einschliesslich Docker-Images und Forks, und deren Versionen prüfen.
• Auf Version 1.0.1 oder neuer aktualisieren und neue, zufällige Werte für JWT_SECRET und REFRESH_TOKEN_SECRET mit mindestens 32 Zeichen setzen.
• Mit dem alten Geheimnis signierte Token als kompromittiert betrachten: Aktivitäten der Admin-Konten und Protokolle prüfen.
• Admin-Oberflächen vom Internet trennen, bis das Update verifiziert ist.
• Forks oder Kopien auf committete Umgebungsdateien prüfen und darin gespeicherte SMTP- oder andere Zugangsdaten widerrufen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• nest-admin v1.0.1 release github.com
• Fix commit f2cec8cb github.com
• Committed .env.production at 2eeccc4 github.com
• nest-admin issue #92 github.com
• VulnCheck advisory www.vulncheck.com
• VulDB entry 427201 vuldb.com
• Offseq threat summary radar.offseq.com
• NVD-derived record (Vulners) vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 00:36.