AJ-Report: Authentifizierungsumgehung mit fest codiertem JWT-Secret führt zu RCE

Zusammenfassung

AJ-Report signiert Share-Tokens mit einem fest codierten JWT-Secret, das im öffentlichen Quellcode enthalten ist. Ein nicht authentifizierter Angreifer kann gültige Share-Tokens offline fälschen, einschliesslich eines Tokens mit reportCode 'dataSet', das den Endpunkt testTransform erreicht. Dieser Endpunkt übergibt Skripte an GroovyClassLoader, wodurch ohne Anmeldung und ohne Benutzerinteraktion Remote Code Execution möglich ist.

Betroffen

• AJ-Report Versionen 0 bis 1.7.1 (CVE-Eintrag: <= 1.7.1)
• Behobene Version: Unbekannt.

Behoben in

Unbekannt. Zum Zeitpunkt der Erstellung wurde kein Herstellerfix oder keine Herstellerwarnung gefunden.

Umgehung

• Öffentlichen Internetzugriff auf AJ-Report sofort entfernen.
• Den Dienst hinter einem VPN oder einem authentifizierenden Reverse Proxy betreiben, beschränkt auf bekannte Netze.
• Externen Zugriff auf die Endpunkte für Freigaben und testTransform am Proxy oder an der Firewall blockieren.
• Den Dienst mit einem Konto mit minimalen Rechten betreiben und ausgehenden Netzwerkverkehr einschränken.
• Wo möglich, Datenbankkonten mit Lesezugriff verwenden.

Ausnutzung

• Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden.
• Kein öffentlicher Exploit in Metasploit oder Exploit-DB und keine öffentliche Erkennungsvorlage gefunden.
• Zum Zeitpunkt der Erstellung nicht im CISA KEV-Katalog aufgeführt.
• Die Schwachstelle gilt als einfach nachvollziehbar, sobald sie verstanden ist; der Status kann sich daher rasch ändern.

Unsere Empfehlung

• Alle AJ-Report-Instanzen, deren Versionen und Internetexposition erfassen.
• Exponierte Instanzen jetzt offline nehmen oder auf den internen Zugriff beschränken.
• Logs auf ungewöhnliche Anfragen an die Endpunkte für Freigaben und testTransform sowie auf unerwartete Kindprozesse des Java-Dienstes prüfen.
• Sicherstellen, dass Standardpasswörter geändert wurden.
• Das Gitee-Issue und die VulnCheck-Warnung auf einen Fix überwachen; falls keiner verfügbar ist und das Produkt nicht isoliert werden kann, einen Ersatz prüfen.
• NVD und CISA KEV in einigen Tagen erneut prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Official CVE record mirror (threatint) cve.threatint.com
• VulnCheck advisory www.vulncheck.com
• OffSeq threat radar radar.offseq.com
• VulDB entry vuldb.com
• Gitee repository AJ-Report gitee.com
• JwtUtil.java at V1.7.1 gitee.com
• Gitee issue IKRV6T gitee.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 19:20.