Homer: Fest codiertes Standard-Administratorpasswort ohne Änderungszwang

Zusammenfassung

Homer, eine Open-Source-Plattform zur Beobachtung von SIP/VoIP-Telefonieverkehr, legt auf neuen Installationen mit interner Authentifizierung ein Administratorkonto mit dem bekannten Passwort 'sipcapture' an. Das Passwort muss beim ersten Login nicht geändert werden. Ein Angreifer mit Netzwerkzugriff auf den Login-Endpunkt kann sich als Administrator anmelden und erhält volle Kontrolle über die Anwendung, einschliesslich der Benutzerverwaltung.

Betroffen

• Homer-Versionen vor 11.0.283 mit interner Authentifizierung (gemäss CVE-Eintrag; das GitHub-Advisory nennt <= 11.0.281)
• Neue Installationen, die mit dem Standard-Administratorpasswort initialisiert wurden
• Bestehende Instanzen, die mit dem Standardpasswort initialisiert wurden, behalten es möglicherweise nach dem Update (nicht verifiziert)
• Ob die alte Homer-7-Linie (homer-app) betroffen ist: Unbekannt.

Behoben in

• Homer 11.0.283 entfernt das Standardpasswort. Bei der Erstinitialisierung ohne Administrator-Passwort-Hash wird ein zufälliges Passwort erzeugt und einmalig protokolliert.

Umgehung

• Vor dem Start einen expliziten Administrator-Passwort-Hash in der Coordinator-Konfiguration setzen.
• Zugriff auf die Homer-Web- und API-Ports bis zum Patch auf Management-Netze oder ein VPN beschränken.

Ausnutzung

• Das Standardpasswort ist im GitHub-Advisory dokumentiert, inklusive eines Login-Beispiels.
• CISA-SSVC-Bewertung: Ausnutzung PoC, automatisierbar: ja, technische Auswirkung: total.
• Keine Berichte über Ausnutzung in freier Wildbahn gefunden; Eintrag im CISA-KEV-Katalog nicht bestätigt.

Unsere Empfehlung

• Alle Homer-Instanzen auf 11.0.283 oder neuer aktualisieren.
• Auf jeder Instanz, die vor 11.0.283 installiert wurde, prüfen, ob der Administrator-Login mit 'sipcapture' noch funktioniert; falls ja, das Passwort sofort zurücksetzen.
• Administratorkonten und Sitzungen auf unerwartete Änderungen prüfen.
• Zugriff auf Homer auf Management-Netze oder VPN beschränken und Logins des Administratorkontos überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-6xp5-7rcx-xfgx github.com
• Fix commit b2e9420 github.com
• Fix pull request #838 github.com
• Homer release 11.0.283 github.com
• OSV CVE-2026-62252 osv.dev

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 20:47.