Eine Schwachstelle in der Open-Source-Asset-Management-Software Snipe-IT kann von Angreifern genutzt werden, um sensible Daten offenzulegen, wie das CERT-Bund in einer Sicherheitsmitteilung vom 2026 beschreibt.
Details zur Schwachstelle
Die Fehlkonfiguration betrifft die Authentifizierungslogik, wodurch ein Angreifer ohne gültige Anmeldedaten Zugriff auf interne API-Endpunkte erlangen kann. Die betroffenen Endpunkte geben unter Umständen Benutzerinformationen, Gerätestatus und Konfigurationsdaten zurück.
Betroffene Systeme
Nach Angaben von CERT-Bund sind Installationen, die die Standardkonfiguration von Snipe-IT verwenden und keine zusätzlichen Zugriffsbeschränkungen implementiert haben, besonders gefährdet. Unternehmen, Bildungseinrichtungen und Behörden, die die Software zur Verwaltung von IT‑Inventar einsetzen, sollten die Meldung prüfen.
Empfohlene Maßnahmen
Der Sicherheitshinweis empfiehlt, die aktuellste Version von Snipe-IT zu installieren, die von den Entwicklern bereitgestellten Patches zu übernehmen und die Zugriffskontrollen für die betroffenen API‑Routen zu überprüfen. Zusätzlich sollten Administratoren Logdateien auf ungewöhnliche Zugriffsversuche auswerten.
Auswirkungen
Ein erfolgreicher Angriff kann die Offenlegung von internen Netzwerkstrukturen und Benutzerkontakten zur Folge haben, was potenziell die Vorbereitung weiterer Angriffe erleichtert. Der Vorfall wird als kritisch eingestuft, weil er ohne Authentifizierung ausgenutzt werden kann.
Weiteres Vorgehen
Betreiber von Snipe-IT werden aufgefordert, die Sicherheitsmitteilung des CERT-Bund zu prüfen, das Update zeitnah zu implementieren und ihre Sicherheitsrichtlinien entsprechend anzupassen. Für Rückfragen steht das CERT-Bund über die im Hinweis angegebene Kontaktadresse zur Verfügung.
Dieser Bericht basiert auf Informationen von CERT-Bund, lizenziert unter Amtliches Werk gem. § 5 UrhG (Deutschland).
Ende der Uebertragung