Traccar: Authentifizierungsumgehung über leeres LDAP-Passwort
Zusammenfassung
Traccar-Versionen 3.15 bis 6.17.0 akzeptieren bei aktivierter LDAP-Authentifizierung ein leeres Passwort, sodass der Server eine nicht authentifizierte LDAP-Bindung durchführt. Ein nicht authentifizierter Angreifer, der einen gültigen Benutzernamen kennt, kann über POST /api/session oder HTTP-Basic-Authentifizierung eine Sitzung für dieses Konto erhalten, auch für Administratorkonten. Der Angriff funktioniert nur, wenn das LDAP-Verzeichnis nicht authentifizierte Bindungen zulässt.
Betroffen
- Traccar 3.15 bis vor 6.17.0
- Nur Installationen mit aktivierter LDAP-Authentifizierung sind betroffen.
Behoben in
- Auf Traccar 6.17.0 oder neuer aktualisieren (veröffentlicht am 1. Nov 2026).
Umgehung
- Keine Workaround-Massnahme des Herstellers dokumentiert.
- Übergangsmassnahmen (Empfehlungen der Analysten, nicht vom Hersteller): LDAP-Anmeldung bis zur Aktualisierung deaktivieren und bis dahin lokale Konten verwenden.
- Anonyme einfache Bindungen auf dem LDAP/AD-Server deaktivieren, sofern sie nicht benötigt werden.
- Zugriff auf den Traccar-Web-/API-Port auf vertrauenswürdige Netze oder ein VPN beschränken.
Ausnutzung
- Zum Zeitpunkt der Erstellung wurde keine Ausnutzung in freier Wildbahn festgestellt.
- Es wurde kein öffentlicher Proof-of-Concept gefunden.
- Zum Zeitpunkt der Erstellung nicht im CISA-KEV-Katalog aufgeführt.
Unsere Empfehlung
- Alle Traccar-Instanzen diese Woche inventarisieren und jene identifizieren, die LDAP verwenden.
- Zuerst internetseitig erreichbare Instanzen patchen und auf 6.17.0 oder neuer aktualisieren.
- Bis zur Aktualisierung LDAP-Anmeldung deaktivieren und prüfen, ob das Verzeichnis anonyme Bindungen zulässt.
- Aktuelle Anmeldungen, insbesondere an Administratorkonten, auf Anzeichen von Missbrauch prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Traccar 3.15 before 6.17.0 Authentication Bypass via Empty LDAP Password (VulnCheck) www.vulncheck.com
- Traccar commit 552c31f2097dbed9edef7cfe174c50b16febdc21 github.com
- Traccar release v6.17.0 github.com
- LdapProvider.java at v3.15 github.com
- LdapProvider.java at v6.16.0 github.com
- Traccar 6.17 release note www.traccar.org
- OffSeq threat record CVE-2026-126777 radar.offseq.com
- CVE-2026-126777 record cve.threatint.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 20:21.
Referenzen der NVD (5)
- https://github.com/traccar/traccar/blob/v3.15/src/org/traccar/database/LdapProvider.java#L163-L169
- https://github.com/traccar/traccar/blob/v6.16.0/src/main/java/org/traccar/database/LdapProvider.java#L171-L176
- https://github.com/traccar/traccar/commit/552c31f2097dbed9edef7cfe174c50b16febdc21
- https://github.com/traccar/traccar/releases/tag/v6.17.0
- https://www.vulncheck.com/advisories/traccar-3.15-before-6.17.0-authentication-bypass-via-empty-ldap-password
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.