UTMStack: Authentifizierungsumgehung über internen API-Schlüssel

Zusammenfassung

UTMStack vor 11.2.16 akzeptiert den internen Header Utm-Internal-Key für jeden API-Endpunkt und gewährt vollen Administratorzugriff, wenn er dem Wert der Umgebungsvariable INTERNAL_KEY entspricht. Ein Angreifer, der den Schlüsselwert kennt, kann ohne Benutzerkonto oder JWT handeln, zum Beispiel Konten anlegen, Benutzer verwalten, Daten exportieren und Sicherheitsregeln ändern. Laut CVE-Eintrag ist die Schwachstelle ohne Authentifizierung aus der Ferne ausnutzbar, und die Korrektur ist in Version 11.2.16 enthalten.

Betroffen

• UTMStack-Versionen vor 11.2.16
• Version 11.2.16 und neuer sind nicht betroffen

Behoben in

• Aktualisierung auf UTMStack 11.2.16 oder neuer (Fix-Commit 4e7a727 und Release v11.2.16)

Umgehung

• Unbekannt. Der CVE-Eintrag nennt keine Workaround-Massnahme.
• Zugriff auf die Weboberfläche und API von UTMStack per IP einschränken oder bis zur Aktualisierung nicht öffentlich erreichbar machen.

Ausnutzung

• Keine bestätigte Ausnutzung in freier Wildbahn in den Quellen gefunden. Nicht gegen den CISA-KEV-Katalog verifiziert.
• Kein öffentlicher Exploit-Code bestätigt.
• EPSS-Wert 0.00546 (niedrig).
• CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung total.

Unsere Empfehlung

• Prüfen, ob UTMStack eingesetzt wird und welche Version läuft.
• Sofort auf 11.2.16 oder neuer aktualisieren, zusammen mit den übrigen Korrekturen desselben Releases.
• Falls die Instanz aus dem Internet erreichbar war, den Wert von INTERNAL_KEY nach der Aktualisierung erneuern.
• Konten, Sicherheitsregeln und Logs auf unerwartete administrative Änderungen prüfen, da die Umgehung keine Audit-Spur hinterlässt.
• Weboberfläche nicht öffentlich betreiben oder per IP einschränken.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• VulnCheck advisory www.vulncheck.com
• UTMStack release v11.2.16 github.com
• UTMStack fix commit 4e7a727 github.com
• OpenCVE CVE-2026-82042 app.opencve.io
• OSV CVE-2026-82042 osv.dev
• TheHackerWire CVE-2026-82042 www.thehackerwire.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 03:34.