OpsTree REMS: Fehlende Authentifizierung in Governance API legt Datenbank-Zugangsdaten offen
Zusammenfassung
OpsTree REMS bis und mit Version 1.0.0 erzwingt die Authentifizierung auf Governance-API-Endpunkten wie /api/v1/databases nicht korrekt. Ein nicht authentifizierter Angreifer aus dem Netzwerk kann Anfragen ohne Authorization-Header oder mit ungültigen oder manipulierten JWT-Tokens senden und so gespeicherte Datenbank-Hosts, Benutzernamen und Passwörter abrufen. Weitere Voraussetzungen als der Netzwerkzugriff auf den REMS-Dienst werden im CVE-Eintrag nicht genannt.
Betroffen
- OpsTree REMS 0 bis 1.0.0 (CVE-Eintrag, Standard: nicht betroffen)
Behoben in
- Unbekannt. In den Quellen wurde keine korrigierte Version gefunden. OpsTree Solutions direkt anfragen.
Umgehung
- Dem Hersteller ist kein Workaround bekannt.
- Den Zugriff auf die Governance API über Netzwerkkontrollen einschränken, zum Beispiel REMS nur in internen Management-Netzwerken oder per VPN erreichbar machen.
- REMS nicht aus dem Internet erreichbar machen.
Ausnutzung
- Laut Aggregator-Quellen ist keine Ausnutzung in freier Wildbahn bekannt; nicht gegen den CISA-KEV-Katalog geprüft.
- Öffentliche technische Details können existieren; ein Proof of Concept konnte nicht bestätigt werden. Von einer niedrigen Hürde für die Ausnutzung ausgehen.
Unsere Empfehlung
- Prüfen, ob eine OpsTree-REMS-Instanz aus dem Internet oder aus unvertrauenswürdigen Netzwerken erreichbar ist, und den Zugriff sofort einschränken.
- Aus dem Internet erreichbare Instanzen als hohe Priorität und rein interne Instanzen als mittlere Priorität behandeln.
- In REMS gespeicherte Datenbank-Zugangsdaten rotieren, da die offengelegten Daten Passwörter enthalten.
- Zugriffsprotokolle auf unauthentifizierte Anfragen an /api/v1/databases prüfen.
- Bei OpsTree Solutions nach einer Korrektur oder Sicherheitsmitteilung fragen und Updates einspielen, sobald verfügbar.
- Zusammen mit dieser Lücke die am selben Tag veröffentlichten REMS-CVEs bewerten.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- CVE Record CVE-2026-126769 www.cve.org
- VulnCheck advisory www.vulncheck.com
- OpsTree REMS product page opstree.com
- OffSeq Radar: CVE-2026-126769 radar.offseq.com
- VulDB entry 435926 vuldb.com
- threatint CVE-2026-126769 cve.threatint.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 20:26.
Referenzen der NVD (4)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.