ZTNET: Fehlende Autorisierung erlaubt Deaktivierung fremder Benutzerkonten
Zusammenfassung
ZTNET, eine Web-Oberfläche für ZeroTier-Private-Controller, prüft beim invalidateUser-Endpunkt nicht, ob die übergebene Benutzer-ID mit der angemeldeten Session übereinstimmt. Jeder authentifizierte Benutzer mit geringen Rechten kann dadurch ein anderes Konto, auch ein Administratorkonto, deaktivieren. Das betroffene Konto wird danach beim Login mit einem Fehler für abgelaufene Konten abgewiesen, bis es wieder aktiviert wird.
Betroffen
- ZTNET-Versionen vor 0.8.0
- Für die Ausnutzung sind ein normales authentifiziertes Benutzerkonto und die Benutzer-ID des Opfers erforderlich
Behoben in
- Behoben in ZTNET 0.8.0 (der Endpunkt wurde mit PR #941 entfernt)
- Neuere Versionen sind verfügbar; empfohlen wird die neueste Version
Umgehung
- Für ungepatchte Systeme unbekannt, abgesehen von der Beschränkung des Zugriffs auf die Web-Oberfläche auf Management-Netzwerke oder ein VPN
Ausnutzung
- Zum Zeitpunkt der Recherche ist keine Ausnutzung in freier Wildbahn bekannt
- Bei unserer Recherche wurde kein öffentlicher Proof-of-Concept gefunden; dies schliesst einen solchen nicht aus
- EPSS: 0.37 % (Perzentil 31)
Unsere Empfehlung
- ZTNET auf die neueste Version aktualisieren; vorher die Datenbank sichern, da die Version 0.8.0 die Authentifizierung migriert und Benutzer sich eventuell neu anmelden müssen
- Zugriff auf die Web-Oberfläche auf Management-Netzwerke oder ein VPN beschränken
- Benutzerkonten prüfen und nach dem Patchen auf unerwartet deaktivierte Konten achten, insbesondere Administratorkonten
- Als hohe Priorität behandeln, wenn die Instanz aus dem Internet erreichbar ist oder viele Konten besitzt
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-vqfc-cmp9-c33q github.com
- ZTNET v0.8.0 release github.com
- Fix commit 7966af6 github.com
- Pull request #941 github.com
- VulDB CVE-2026-62967 vuldb.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 17:44.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.