Homer: SQL-Injection über unvalidiertes rawquery-Feld in der Statistikabfrage

Zusammenfassung

Homer, eine Open-Source-Plattform für die Erfassung und Überwachung von Telekommunikations-Anrufen (SIP/VoIP), validiert das Feld rawquery im Handler V4StatisticsQuery nicht, bevor es an DuckDB übergeben wird. Jeder authentifizierte Benutzer kann beliebige SQL-Anweisungen gegen alle Daten ausführen, die über den FlightSQL-Dienst erreichbar sind, einschliesslich sensibler Anrufdaten und Metadaten. Der Angreifer benötigt lediglich ein gültiges Konto mit niedrigen Berechtigungen und Netzwerkzugriff auf die Homer-API.

Betroffen

• Homer vor 11.0.283
• Herstellerunabhängige Quellen führen Versionen unter 11.0.283 als betroffen (VulDB beschreibt bis 11.0.282)

Behoben in

• Homer 11.0.283 (validiert rawquery mit sqlvalidator.ValidateRawSQL, nur schreibgeschützte SQL-Anweisungen, Fix-Commit a7d027dc, PR #837)
• Spätere 11.0.x-Versionen enthalten weitere Härtungen; prüfen Sie die aktuellste Version

Umgehung

• Keine vom Hersteller dokumentierte Workaround-Lösung. Die Behebung ist das Update.
• Übergangsmassnahme (nicht vom Hersteller): Zugriff auf die Weboberfläche und API von Homer auf Management-Netze oder VPN beschränken und die Zugangsdaten aller Konten erneuern.

Ausnutzung

• Ausnutzung in freier Wildbahn nicht bekannt; zum Zeitpunkt der Recherche nicht im CISA-KEV-Katalog gelistet.
• CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
• Ein öffentlich verfügbarer Proof of Concept wurde nicht unabhängig bestätigt; der Angreifer benötigt weiterhin gültige Zugangsdaten.

Unsere Empfehlung

• Homer auf 11.0.283 oder höher aktualisieren, vorzugsweise auf die neueste 11.0.x-Version.
• Vor dem Patchen prüfen, ob noch Standard-Admin-Zugangsdaten verwendet werden, und diese ändern; die gleiche Version entfernt das fest codierte Standard-Admin-Passwort.
• Benutzerkonten in Homer prüfen und nicht benötigte Konten entfernen.
• Zugriff auf die Weboberfläche und API auf vertrauenswürdige Netze oder VPN beschränken.
• Logs auf ungewöhnliche SQL-Anfragen an /api/v4/statistics/query prüfen.
• Nach dem Update Dashboards und Abfragen testen, da Nicht-SELECT-Anweisungen nun abgelehnt werden.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-f46q-3v67-fmm4 github.com
• Homer release 11.0.283 github.com
• Fix commit a7d027dc github.com
• Pull Request #837 github.com
• OSV GHSA-f46q-3v67-fmm4 osv.dev
• OpenCVE CVE-2026-62251 app.opencve.io
• VulDB 415072 vuldb.com
• Homer security page github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 20:34.