AsiaInfo Business Support System: Fehlende Prüfung der JWT-Signatur

Zusammenfassung

AsiaInfo Business Support System (BSS) 9.2.0 bis 9.2.40 prüft die kryptografischen Signaturen von JSON Web Tokens (JWT) nicht korrekt. Ein entfernter, nicht authentifizierter Angreifer kann ein wohlgeformtes JWT ohne gültige Signatur fälschen und damit privilegierte Aktionen ausführen. Der Forscher zeigte, dass auf betroffenen Builds ein gefälschtes Token die Authentifizierung passiert; eine privilegierte Aktion wurde auf einem Live-System nicht demonstriert. Relevant ist dies vor allem für Organisationen, die AsiaInfo BSS betreiben, typischerweise Telekombetreiber und Serviceprovider.

Betroffen

• AsiaInfo Business Support System (BSS) 9.2.0 bis 9.2.40
• Komponente aether-menu 2.2.1 bis 2.2.6 (Umfang mit dem Hersteller zu bestätigen, da die CVE-Beschreibung nur das BSS nennt)

Behoben in

• Business Support System 9.2.41
• aether-menu 2.2.7 (ausgeliefert in 9.2.41)

Umgehung

Unbekannt.

Ausnutzung

• Nicht als ausgenutzt bekannt (Angabe eines Aggregators, nicht gegen CISA KEV geprüft).
• In den geprüften Quellen wurde kein öffentlicher Proof of Concept und kein Exploit-Code gefunden.

Unsere Empfehlung

• Klären, ob AsiaInfo BSS oder aether-menu eingesetzt wird. Falls nicht, ist keine Massnahme nötig.
• Falls im Einsatz, die installierte Version prüfen und vorrangig auf 9.2.41 (aether-menu 2.2.7) aktualisieren.
• Prüfen, ob die Management-API und die Schnittstellen für Teilnehmer aus dem Internet erreichbar sind, und den Zugriff einschränken.
• Zugriffsprotokolle auf unerwartete administrative Konten oder Sitzungen prüfen.
• CVE-2026-125297 (nicht authentifizierte Management-API) zusammen mit diesem Problem beurteilen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE Record CVE-2026-125298 www.cve.org
• Researcher advisory CVE-2026-125298 github.com
• CISA CSAF advisory va-26-313-03 raw.githubusercontent.com
• AsiaInfo CloudBSS product page www.asiainfo.eu
• OffSeq radar CVE-2026-125298 radar.offseq.com
• Strix CVE-2026-125298 www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 10.11.2026 23:36.