OpsTree REMS: Authentifizierungsumgehung über clientseitig steuerbares is_local_auth-Flag
Zusammenfassung
OpsTree REMS, eine KI-gestützte Observability-Plattform, vertraut beim Login einem Flag, das der Client steuern kann. Ein nicht authentifizierter Angreifer kann eine Login-Anfrage für das Admin-Konto mit einem ungültigen Passwort und is_local_auth auf true senden, erhält ein gültiges JWT und erlangt SuperUser-Zugriff. Bei erfolgreicher Ausnutzung können die Governance-Datenbank, das Incident-Management, die Administration des KI/LLM-Moduls und die Benutzerverwaltung offengelegt werden.
Betroffen
- OpsTree Solutions REMS, Versionen 0 bis 1.0.0 (gemäss CVE-Eintrag)
Behoben in
- Unbekannt. Es wurde noch kein Sicherheitshinweis des Herstellers oder eine korrigierte Version gefunden.
Umgehung
- REMS vom Internet trennen und hinter ein VPN oder einen identitätsbasierten Proxy stellen.
- Den Zugriff auf den Login-API-Endpunkt (POST /api/v1/user/login/) nach IP-Adresse einschränken.
- Logs auf Login-Versuche mit dem Feld is_local_auth und auf erfolgreiche Admin-Logins aus unerwarteten Quellen überwachen.
Ausnutzung
- Ein öffentliches Gist mit technischen Details existiert, dessen Exploit-Inhalt jedoch nicht verifiziert ist. Die Quellen widersprechen sich, ob ein öffentlicher Exploit existiert.
- Gemäss OffSeq ist nicht bekannt, dass die Lücke in freier Wildbahn ausgenutzt wird.
- Der Hersteller stellt keine Angaben zu Ausnutzungsdaten zur Verfügung.
Unsere Empfehlung
- Prüfen, ob REMS im Einsatz ist, ob es aus dem Internet erreichbar ist und wer Admin-Konten besitzt.
- Die Exponierung jetzt einschränken, da kein Patch bekannt ist, und auf verdächtige Logins überwachen.
- Admin-Passwort und allfällige JWT-Signaturgeheimnisse erneuern, falls eine Exponierung vermutet wird, und Admin-Sitzungen aus dem betroffenen Zeitraum als möglicherweise kompromittiert behandeln.
- Zusätzlich CVE-2026-126769 (fehlende Authentifizierung in der Governance-API) prüfen, das dasselbe Produkt betrifft.
- Die Korrektur des Herstellers einspielen, sobald OpsTree sie veröffentlicht.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- CVE Record CVE-2026-126768 www.cve.org
- VulnCheck advisory: OpsTree REMS authentication bypass www.vulncheck.com
- Researcher advisory (GitHub gist) gist.github.com
- OpsTree REMS product page opstree.com
- VulDB entry CVE-2026-126768 vuldb.com
- OffSeq radar entry CVE-2026-126768 radar.offseq.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 20:21.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.