OpenAEV: Fehlende Authentifizierung und Autorisierung in der Player-Lessons-API

Zusammenfassung

OpenAEV, eine Open-Source-Plattform für die Simulation von Cyber-Angriffen, stellt ihre Player-Lessons-API in Standardinstallationen vor Version 2.260622.0 ohne Authentifizierung bereit. Die Endpunkte vertrauen einem vom Client übergebenen Parameter userId und prüfen nicht, ob der Aufrufer Mitglied der Übung ist. Ein nicht authentifizierter Angreifer, der eine Übungs-UUID kennt, kann Lessons-Learned-Fragen und Antworten inklusive Autor jeder Antwort lesen sowie Antworten im Namen beliebiger Benutzer erstellen oder überschreiben. Instanzen, die aus nicht vertrauenswürdigen Netzen erreichbar sind, sind besonders gefährdet.

Betroffen

• OpenAEV-Versionen vor 2.260622.0
• Die Advisory hat die Version 2.260604.0 (Community-Edition) getestet

Behoben in

• Auf OpenAEV 2.260622.0 oder neuer aktualisieren

Umgehung

Unbekannt.

Provisorische Massnahme (nicht vom Hersteller verifiziert):

• Den Zugriff auf die Pfade /api/player/ auf einem Reverse Proxy einschränken.
• Den Zugriff auf die OpenAEV-Webanwendung auf Administratoren oder ein VPN beschränken.

Ausnutzung

• Keine bekannte Ausnutzung in freier Wildbahn.
• Nicht im CISA-KEV-Katalog aufgeführt.
• CISA SSVC bewertet die Schwachstelle als automatisierbar.
• Die Advisory des Herstellers beschreibt die Anfrage-Schritte im Detail; in den geprüften Quellen wurde kein öffentlicher Exploit gefunden.

Unsere Empfehlung

• Prüfen, ob eine OpenAEV-Instanz aus dem Internet oder aus nicht vertrauenswürdigen Netzen erreichbar ist, und solche Instanzen dringend behandeln.
• Alle Instanzen im regulären Patch-Zyklus auf 2.260622.0 oder neuer aktualisieren, mit Priorität vor anderen internen Werkzeugen.
• Bis zur Aktualisierung die Einschränkung auf dem Reverse Proxy anwenden und Lessons-Learned-Inhalte sowie Antwortautoren auf unerwartete Änderungen prüfen.
• Den betroffenen Versionsbereich vor dem Schliessen des Tickets mit der Herstellerinformation abgleichen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-47wr-wp4h-8v3f github.com
• OSV: CVE-2026-71854 osv.dev
• OpenCVE: CVE-2026-71854 app.opencve.io
• VulDB: CVE-2026-71854 vuldb.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 16:14.