Metasploit Framework Web Service: Fehlende Authentifizierung in Credential-API
Zusammenfassung
Die REST-API des Metasploit Framework Web Service (msf-ws) besitzt zwei Credential-Endpunkte, PUT und DELETE auf /api/v1/credentials, die die Authentifizierung nicht prüfen. Jeder Client, der den Standard-Listener 0.0.0.0:8080 erreichen kann, kann alle gespeicherten Zugangsdaten lesen, verändern oder dauerhaft löschen, einschliesslich Passwörter, Hashes und private Schlüssel aus gemeinsamen Team-Projekten. Es sind keine Zugangsdaten nötig, und der CVSS-Wert beträgt 9.8 (kritisch).
Betroffen
- Metasploit Framework 0 bis 6.5.4
- Ob der Wartungszweig 6.4.x betroffen ist, ist unbekannt.
Behoben in
- Metasploit Framework 6.5.5 ergänzt die Authentifizierungsprüfung in beiden Handlern.
Umgehung
- Vom Hersteller ist keine Workaround-Lösung veröffentlicht.
- msf-ws nur an localhost binden oder TCP 8080 auf Host- und Netzwerk-Firewalls blockieren.
- msf-ws bis zum Patch nicht auf gemeinsam genutzten oder aus dem Internet erreichbaren Systemen betreiben.
Ausnutzung
- Zum Zeitpunkt der Recherche wurde kein öffentlicher Proof of Concept gefunden.
- Es wurden keine Hinweise auf Ausnutzung in freier Wildbahn gefunden; CISA SSVC führt die Ausnutzung als none.
- Der Status im CISA-KEV-Katalog wurde nicht geprüft.
Unsere Empfehlung
- Auf Metasploit Framework 6.5.5 oder neuer aktualisieren und beim Hersteller klären, ob 6.4.x betroffen ist.
- Prüfen, ob Port 8080 auf msf-ws-Systemen aus nicht vertrauenswürdigen Netzen erreichbar ist.
- Bei möglicher Exposition alle in der Metasploit-Datenbank gespeicherten Zugangsdaten rotieren.
- msf-ws auf dedizierte, zugriffsbeschränkte Systeme begrenzen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Metasploit Framework GitHub repository github.com
- Metasploit Framework 6.5.5 release github.com
- Vulners: RAPID7:CVE-2026-87689 vulners.com
- CVE-2026-87689 record mirror (threatint) cve.threatint.com
- TheHackerWire: CVE-2026-87689 unauthenticated credential exposure www.thehackerwire.com
- Strix: CVE-2026-87689 www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 19:07.
Referenzen der NVD (9)
- https://github.com/rapid7/metasploit-framework
- https://github.com/rapid7/metasploit-framework/releases/tag/6.5.5
- https://github.com/rapid7/metasploit-framework/releases/tag/6.5.5
- https://github.com/rapid7/metasploit-framework/releases/tag/6.5.5
- https://github.com/rapid7/metasploit-framework/releases/tag/6.5.5
- https://github.com/rapid7/metasploit-framework/releases/tag/6.5.5
- https://github.com/rapid7/metasploit-framework/releases/tag/6.5.5
- https://github.com/rapid7/metasploit-framework/releases/tag/6.5.5
- https://github.com/rapid7/metasploit-framework/releases/tag/6.5.5
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.