VoiceSentinel: Race Condition bei Bereinigung des Report-Buffers beschädigt Transkriptdaten

Zusammenfassung

VoiceSentinel, ein Echtzeit-System zur Sprachmoderation für Minecraft-Server, enthält eine Race Condition im optionalen Report-Buffer. Gleichzeitige Aufbewahrungsbereinigung und Schreibvorgänge von Transkripten können gespeicherte Transkripte verlieren, duplizieren oder beschädigen und verhindern, dass alte Einträge gelöscht werden, sodass die Transkriptdatei unbegrenzt wächst. Ein Angreifer kann dies nur indirekt über den normalen gleichzeitigen Betrieb auslösen; dadurch kann der Speicherplatz erschöpft werden und der Host oder andere Dienste darauf abstürzen. Die Funktion ist standardmässig deaktiviert und das Problem ist in Version 3.3.1 behoben.

Betroffen

• VoiceSentinel ab 2.2.1 bis, aber ohne, 3.3.1 (Angaben des CNA)
• Nur Installationen mit report_buffer.enabled auf true
• Erhöhtes Risiko bei processing.worker_count von 2 oder mehr und bei öffentlichen Pool-Servern, die einen server_key teilen
• Hinweis: VulDB nennt eine untere Grenze von 3.0; die untere Grenze ist nicht bestätigt.

Behoben in

• Version 3.3.1

Umgehung

• report_buffer.enabled auf false setzen (die Funktion ist standardmässig deaktiviert)
• Nicht verifiziert: processing.worker_count auf 1 reduzieren, um Kollisionen zu verringern; vom Hersteller nicht getestet

Ausnutzung

• Nicht bekanntermassen in freier Wildbahn ausgenutzt
• Kein Eintrag im CISA-KEV-Katalog gefunden
• Öffentlicher Proof-of-Concept: nicht verifiziert; VulDB meldet keinen verfügbaren Exploit

Unsere Empfehlung

• Prüfen, ob VoiceSentinel im Einsatz ist und ob report_buffer.enabled auf true steht
• Falls die Funktion nicht benötigt wird, deaktiviert lassen
• Auf Version 3.3.1 oder neuer aktualisieren
• Speicherauslastung des Report-Buffer-Verzeichnisses und des Hosts überwachen, besonders auf geteilten VPS-Hosts
• Priorität: niedrig, wenn die Funktion aus ist; mittel, wenn aktiviert; hoch, wenn auf einem geteilten Host mit mehreren Workern betrieben

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-vhqx-3242-77j7 github.com
• Fix commit a8c9f926d19969a19d05eee2a508719aea7f109c github.com
• VoiceSentinel release v3.3.1 github.com
• VulDB entry 429286 vuldb.com
• OffSeq Radar entry CVE-2026-61854 radar.offseq.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 14:31.