Unblu Spark: Fehlende Autorisierung in Konfigurationsoperationen
Zusammenfassung
Der Collaboration Server von Unblu Spark prüft beim Lesen und Ändern von Konfigurationen nicht, ob ein Benutzer Zugriff auf das zugehörige Objekt hat. Ein authentifizierter Benutzer kann so Konfigurationseigenschaften anderer Benutzer, anderer Konten und in Unblu Cloud anderer Kunden lesen und ändern. Bei bestimmten nicht standardmässigen Validierungseinstellungen kann ein registrierter Benutzer zusätzlich Konfigurationseigenschaften schreiben, die er nicht bearbeiten darf, in jedem Gültigkeitsbereich. Es ist keine Benutzerinteraktion nötig.
Betroffen
- Unblu Spark 7.0 bis 8.36.1-hotfix.0 (On-Premises und Unblu Cloud, gemäss CVE-Beschreibung)
- Versionsangaben der CNA: 7.0 bis unter 8.37.0 (Standardkonfiguration nicht betroffen)
- Herstellerbulletin UBL-2026-002: 8.36.1-hotfix.0 und alle früheren Versionen
- Schweregrad: 8.9 Hoch (On-Premises), 9.3 Kritisch (Unblu Cloud); CVSS v4.0 9.3 gemäss CNA
Behoben in
- Unblu Spark 8.37.2 und alle späteren Versionen
- Unblu Spark 7.x: kein Fix verfügbar; die CNA-Meldung hält fest, dass für 7.x kein Fix existiert
- Unblu Cloud: Fix bereits ausgerollt
Umgehung
- Keine für On-Premises-Installationen gemäss CNA-Meldung
- Kunden von Unblu Cloud müssen keine Massnahmen ergreifen
Ausnutzung
- Authentifizierte Session erforderlich; keine Benutzerinteraktion nötig
- CISA-SSVC-Bewertung: Ausnutzung none, nicht automatisierbar, totale technische Auswirkung
- Zum Zeitpunkt der Recherche kein öffentlicher Proof of Concept und keine Hinweise auf Ausnutzung gefunden
- Entdeckt im Rahmen eines Bug-Bounty-Programms (YesWeHack)
Unsere Empfehlung
- On-Premises-Installationen von Unblu Spark auf 8.37.2 oder neuer aktualisieren, nach Prüfung der Version und Test in einer Testumgebung
- Für Unblu Spark 7.x bei Unblu eine Supportaussage und einen Migrationspfad anfordern, da kein Fix verfügbar ist
- Prüfen, welche Konten gültige Anmeldedaten besitzen, und nicht benötigte Konten entfernen
- Protokolle zu Konfigurationsänderungen auf unerwartete Änderungen prüfen
- Kunden von Unblu Cloud: keine Massnahmen nötig
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Unblu security bulletin UBL-2026-002 docs.unblu.com
- Unblu security bulletins index docs.unblu.com
- BACS CVE records www.bacs.admin.ch
- vulners CVE record CVE-2026-9589 vulners.com
- OpenCVE CVE-2026-9589 app.opencve.io
- VulDB entry 422767 vuldb.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 01:06.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.