Homer: Authentifizierungsumgehung in der API wegen leerem JWT-Secret
Zusammenfassung
Homer ist Open-Source-Software zur Erfassung und Überwachung von SIP/VoIP-Signalisierung. Da das JWT-Secret standardmässig leer ist, akzeptiert die JWT-Middleware auf einer Standardinstallation jede Anfrage auf die geschützten API-Pfade /api/v1, /api/v3 und /api/v4 ohne Authentifizierung. Ein nicht authentifizierter Angreifer, der die API erreichen kann, kann Daten lesen oder ändern, ohne Zugangsdaten oder Benutzerinteraktion.
Betroffen
- Homer-Versionen vor 11.0.283
- Standardinstallationen ohne konfiguriertes coordinator.jwt.secret
- Homer 7 (homer-app) ist in den Herstellerquellen weder als betroffen noch als nicht betroffen bestätigt
Behoben in
- Homer 11.0.283 (erzwingt JWT auf geschützten Routen und generiert bei fehlendem Secret ein Secret und speichert es persistent)
Umgehung
Unbekannt. Der Hersteller veröffentlicht keine Workaround-Massnahme. Bis zum Update den Zugriff auf die Homer-API und das UI auf Management-Netze beschränken.
Ausnutzung
- Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden; nicht im CISA-KEV-Katalog
- CISA-SSVC-Bewertung: Exploitation PoC, automatisierbar: ja, technische Auswirkung: total
- Eine Beschreibung eines PoC von Drittanbietern existiert, ist aber nicht verifiziert
Unsere Empfehlung
- Alle Homer-Instanzen, einschliesslich Homer 7 und Container-Deployments, identifizieren und deren Versionen erfassen
- Auf Homer 11.0.283 oder neuer aktualisieren und ein explizites JWT-Secret setzen
- Direkte Internetexposition der Homer-API und des UI entfernen
- Web- und Zugriffslogs auf nicht authentifizierte Anfragen an /api/-Pfade von unbekannten Quellen prüfen
- Admin-Zugangsdaten rotieren und Benutzerliste sowie Datenbankeinstellungen auf unerwartete Änderungen prüfen
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-rqcc-94gv-wjm9 github.com
- Homer release 11.0.283 github.com
- Fix commit 5e90809 github.com
- Pull request #839 github.com
- OSV CVE-2026-62253 osv.dev
- VulDB 415088 vuldb.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 20:48.
Referenzen der NVD (5)
- https://github.com/sipcapture/homer/commit/5e90809657c9df321db191a69c6050f873f5646b
- https://github.com/sipcapture/homer/pull/839
- https://github.com/sipcapture/homer/releases/tag/11.0.283
- https://github.com/sipcapture/homer/security/advisories/GHSA-rqcc-94gv-wjm9
- https://github.com/sipcapture/homer/security/advisories/GHSA-rqcc-94gv-wjm9
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.