Openwave Messaging (Ireland) Webtop Media Transcoder: fehlerhafte Ressourcenübergabe (CVE-2026-111793)

Was ist betroffen, was ist zu tun

Openwave Webtop Media Transcoder erzwingt nicht die vom Administrator definierten Dateityp-Beschränkungen, um die zu konvertierenden Dateitypen einzuschränken. Dies könnte es einem authentifizierten Benutzer ermöglichen, unbeabsichtigte Dokumenttypen zu verarbeiten und zu konvertieren, wenn die Webmail-Erfahrung umgangen wird.

Die Schwachstelle wird aktiv ausgenutzt; behandeln Sie sie vorrangig. Aktualisieren Sie Openwave Messaging (Ireland) Webtop Media Transcoder auf Version 1.1.22.0. Sofortmaßnahmen, Mitigation und Erkennungsregeln stehen im Runbook unten.

Betroffen

• Openwave Messaging (Ireland) Webtop Media Transcoder lt *..1.1.22.0

Behoben in

• Openwave Messaging (Ireland) Webtop Media Transcoder 1.1.22.0

Unklar, ob und wie Sie betroffen sind? Frage zu dieser Schwachstelle stellen

Metriken

Behebung und Mitigation

1. 01

   Schritt 1 im Runbook

   Sofort-Response (0-24 h)

   • Bestandsaufnahme: Alle Instanzen von Openwave Webtop Media Transcoder ermitteln (CMDB, Paketverwaltung, Webmail-Frontend-Konfiguration) und die installierte Version dokumentieren. Laut Kontext ist 1.1.22.0 die korrigierte Version. Die genaue Liste betroffener Vorversionen bitte im Vendor-Advisory nachschlagen.
   • Patch einspielen: Auf Webtop Media Transcoder 1.1.22.0 oder neuer aktualisieren. Vorher im Hersteller-Advisory prüfen, ob die administrativ definierten Dateityp-Restriktionen nach dem Update neu eingelesen oder migriert werden müssen.
   • Direkte Erreichbarkeit unterbinden: Bis zum Patch den Transcoder nur aus dem Webmail-Frontend (Webtop) erreichbar machen. Direkter Zugriff aus Client-Netzen oder dem Internet wird per Firewall oder Reverse-Proxy-ACL gesperrt. Die Schwachstelle setzt voraus, dass die Webmail-Oberfläche umgangen wird.
   • Konfiguration verifizieren: Die Dateityp-Whitelist des Transcoders auf das betrieblich nötige Minimum reduzieren. Nach dem Update aktiv testen, ob nicht freigegebene Typen tatsächlich abgewiesen werden, etwa per Testanfrage mit einem gesperrten Format über ein Testkonto.
   • Verdächtige Konten prüfen: Authentifizierte Benutzer mit auffälligen Konvertierungsanfragen der letzten Wochen identifizieren. Bei Verdacht Sitzungen beenden und Zugangsdaten zurücksetzen.
2. 02

   Schritt 2 im Runbook

   Mitigation-Layer

   • Netzsegmentierung: Den Transcoder in ein dediziertes Backend-Segment legen. Eingehende Verbindungen sind ausschließlich von den Webtop-Frontend-Servern erlaubt, alle anderen Quellen werden standardmäßig verworfen. Ausgehende Verbindungen des Transcoders auf benötigte interne Dienste beschränken.
   • Reverse-Proxy/WAF: Eine Regel vor dem Transcoder-Endpunkt setzen, die den Content-Type bzw. die Dateiendung der hochgeladenen Datei gegen eine Positivliste prüft. Abweichende Anfragen werden blockiert und protokolliert. Damit wird die fehlende serverseitige Durchsetzung unabhängig vom Produkt nachgebildet.
   • Härtung der Konvertierungs-Engine: Den Transcoder-Prozess unter einem dedizierten, nicht privilegierten Dienstkonto betreiben und Makro- sowie Skriptausführung in nachgelagerten Konvertierungskomponenten deaktivieren. Ressourcengrenzen setzen (cgroups/ulimit, Timeout, Maximalgröße), um die Verfügbarkeitsbeeinträchtigung durch missbräuchliche Konvertierungen zu begrenzen.
   • Zugriffssteuerung/Least Privilege: Die Konvertierungsfunktion nur Benutzergruppen bereitstellen, die sie fachlich benötigen. Service-Tokens, über die das Frontend den Transcoder aufruft, sollten nicht für Endbenutzer abgreifbar sein.
   • Rate-Limiting: Die Anzahl der Konvertierungsanfragen pro Benutzer und Zeiteinheit am Proxy begrenzen.
3. 03

   Schritt 3 im Runbook

   Detection-Regeln

   • Web-/Proxy-Logs: Anfragen an den Transcoder-Endpunkt, deren Quell-IP nicht zu den Webtop-Frontend-Servern gehört, deuten auf eine Umgehung der Webmail-Oberfläche hin. Beispiel in SPL: index=proxy dest=<transcoder_host> NOT src_ip IN (<webtop_frontends>) | stats count by src_ip, user, uri
   • Dateityp-Abweichung: In den Anwendungs- oder Proxy-Logs Konvertierungsanfragen mit Endungen bzw. MIME-Typen außerhalb der administrativen Positivliste suchen. Als Sigma-Form eignet sich selection: uri|contains: <transcoder_path> kombiniert mit filter: file_ext not in [allowlist].
   • Prozessverhalten (EDR/auditd): Ungewöhnliche Kindprozesse oder Dateizugriffe des Transcoder-Dienstkontos auffällig machen, etwa Shells, Netzwerkwerkzeuge oder Zugriffe außerhalb des Arbeitsverzeichnisses. Mit auditd lässt sich das per -a always,exit -F arch=b64 -S execve -F uid=<transcoder_uid> -k transcoder_exec erfassen.
   • Ressourcen-Telemetrie: CPU-, RAM- und Queue-Spitzen am Transcoder mit den Konvertierungsanfragen einzelner Benutzer korrelieren. Ein Indiz für Missbrauch sind wiederholte Timeouts oder Abbrüche bei Anfragen eines Kontos.
   • Netzwerk (Zeek/Suricata): HTTP-Sessions zum Transcoder ohne vorangehende Webtop-Session desselben Benutzers bzw. derselben Quelle erkennen. Hilfreich ist ein Zeek-http.log-Abgleich der Felder id.orig_h und referrer.

Erkennungsregeln

Für diese Schwachstelle liegt noch keine NEOSEC-Erkennungsregel vor.

Einordnung nach NIS2 und CRA

Regelbasierte Einordnung aus Ausnutzungsstatus und Schweregrad. Sie ersetzt keine Prüfung im Einzelfall.

NIS2

NIS2 ist die EU-Richtlinie (EU) 2022/2555 zur Erhöhung des Cybersicherheitsniveaus in der Union. Sie weitet Pflichten gegenüber der ersten NIS-Richtlinie deutlich aus: mehr Sektoren, verbindliches Risikomanagement, gestufte Meldepflichten und persönliche Verantwortung der Geschäftsleitung.

Im Glossar lesen

Aktiv ausgenutzt: Behandeln Sie die Schwachstelle im Schwachstellenmanagement nach Art. 21 Abs. 2 lit. e NIS2 vorrangig. Wird sie in Ihrer Umgebung ausgenutzt, prüfen Sie die Meldepflicht nach Art. 23 (Frühwarnung binnen 24 Stunden).

CRA

Der CRA ist die EU-Verordnung (EU) 2024/2847 mit horizontalen Cybersicherheitsanforderungen an „Produkte mit digitalen Elementen“ — von Industriesteuerungen über Software bis zu vernetzten Verbrauchergeräten. Erstmals müssen Hersteller Sicherheit über den gesamten Produktlebenszyklus gewährleisten, Schwachstellen behandeln und Sicherheitsupdates bereitstellen.

Im Glossar lesen

Seit dem 11.09.2026 müssen Hersteller betroffener Produkte mit digitalen Elementen aktiv ausgenutzte Schwachstellen nach Art. 14 CRA melden, mit Frühwarnung binnen 24 Stunden über die zentrale Meldeplattform der ENISA.

ISO/IEC 27001

ISO/IEC 27001 ist der international führende Standard für ein Informationssicherheits-Managementsystem (ISMS). Er beschreibt einen risikobasierten, prozessorientierten Rahmen, um Informationssicherheit systematisch zu planen, umzusetzen, zu überprüfen und zu verbessern.

Im Glossar lesen

Maßnahme A.8.8, Management technischer Schwachstellen: Relevanz für Ihre Systeme bewerten, Behebung einplanen und nachweisen.

Beschreibung

Openwave Webtop Media Transcoder erzwingt nicht die vom Administrator definierten Dateityp-Beschränkungen, um die zu konvertierenden Dateitypen einzuschränken. Dies könnte es einem authentifizierten Benutzer ermöglichen, unbeabsichtigte Dokumenttypen zu verarbeiten und zu konvertieren, wenn die Webmail-Erfahrung umgangen wird.

Originalquelle nur englisch verfügbar, maschinell ins Deutsche übersetzt.

Quelle: NVD (NIST), CISA KEV Catalog, cvelistv5, ENISA EUVD

Weakness-Klassen (CWE)

• CWE-669Incorrect Resource Transfer Between Spheres

  Class

  The product does not properly transfer a resource/behavior to another sphere, or improperly imports a resource/behavior from another sphere, in a manner that provides unintended control over that resource.

  Eintrag bei MITRE CWE-669

Quellen & Referenzen

• openwave.aieuvd, Produkt
• github.comGISOpenwave/security-advisories-public/blob/main/CAN-2026-20326…euvd, Hinweis Dritter
• jvn.jpen/vu/JVNVU93403064Hinweis Dritter, Hinweis Dritter
• cisa.govknown-exploited-vulnerabilities-catalog?field_cve=CVE-2026-1117…US-Behörde, government-resource

Änderungen an der CVE

Wer diese CVE wann geändert hat: die NVD (Analyse, betroffene Produkte, CVSS), der Herausgeber der CVE (CNA) und ergänzende Stellen wie CISA (ADP).

1. 11.11.2026Eintrag geändertCISA ADP

   CISA-Einschätzung (SSVC): Ausnutzung: aktiv, automatisierbar: nein

   2 Einzeländerungen im Original anzeigen

   Einzeländerungen dieses Ereignisses im Original der NVD

   Art	Aktion	Vorher	Nachher
   SSVC-Einschätzung	entfernt	{"id":"CVE-2026-111793","role":"CISA Coordinator","options":[{"exploitation":"active"},{"automatable":"no"},{"technicalImpact":"partial"}],"version":"2.0.3","timestamp":"2026-11-10T19:50:15.242846Z"}	—
   SSVC-Einschätzung	ergänzt	—	{"id":"CVE-2026-111793","role":"CISA Coordinator","options":[{"exploitation":"active"},{"automatable":"no"},{"technicalImpact":"partial"}],"version":"2.0.3","timestamp":"2026-11-10T00:00:00+00:00"}

   Kennung der Quelle: 134c704f-9b21-4f2e-91b3-4a467353bcc0

2. 10.11.2026Erstanalyse durch die NVDNVD

   Neu als betroffen eingetragen:

   • Openwave Webtop Media Transcoder (vor 1.1.22.0)

   Neue Referenzen:

   • https://github.com/GISOpenwave/security-advisories-public/blob/main/CAN-2026-2032674.md
   • https://openwave.ai
   • https://jvn.jp/en/vu/JVNVU93403064/
   • https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-111793
   5 Einzeländerungen im Original anzeigen

   Einzeländerungen dieses Ereignisses im Original der NVD

   Art	Aktion	Vorher	Nachher
   Produktkonfiguration	ergänzt	—	OR *cpe:2.3:a:openwave:webtop_media_transcoder:*:*:*:*:*:*:*:* versions up to (excluding) 1.1.22.0
   Referenztyp	ergänzt	—	MITRE: https://github.com/GISOpenwave/security-advisories-public/blob/main/CAN-2026-2032674.md Types: Third Party Advisory
   Referenztyp	ergänzt	—	MITRE: https://openwave.ai Types: Product
   Referenztyp	ergänzt	—	CISA-ADP: https://jvn.jp/en/vu/JVNVU93403064/ Types: Third Party Advisory
   Referenztyp	ergänzt	—	CISA-ADP: https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-111793 Types: US Government Resource

   Kennung der Quelle: nvd@nist.gov

3. 10.11.2026Eintrag geändertCISA ADP

   CISA-Einschätzung (SSVC): Ausnutzung: aktiv, automatisierbar: nein

   Neue Referenzen:

   • https://jvn.jp/en/vu/JVNVU93403064/
   • https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-111793
   4 Einzeländerungen im Original anzeigen

   Einzeländerungen dieses Ereignisses im Original der NVD

   Art	Aktion	Vorher	Nachher
   Referenz	ergänzt	—	https://jvn.jp/en/vu/JVNVU93403064/
   Referenz	ergänzt	—	https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-111793
   SSVC-Einschätzung	entfernt	{"id":"CVE-2026-111793","role":"CISA Coordinator","options":[{"exploitation":"none"},{"automatable":"no"},{"technicalImpact":"partial"}],"version":"2.0.3","timestamp":"2026-10-19T15:27:28.876275Z"}	—
   SSVC-Einschätzung	ergänzt	—	{"id":"CVE-2026-111793","role":"CISA Coordinator","options":[{"exploitation":"active"},{"automatable":"no"},{"technicalImpact":"partial"}],"version":"2.0.3","timestamp":"2026-11-10T19:50:15.242846Z"}

   Kennung der Quelle: 134c704f-9b21-4f2e-91b3-4a467353bcc0

4. 10.11.2026CISA-KEV-Eintrag aktualisiert9119a7d8…

   4 Einzeländerungen: Date Added, Due Date, Required Action, Vulnerability Name

   4 Einzeländerungen im Original anzeigen

   Einzeländerungen dieses Ereignisses im Original der NVD

   Art	Aktion	Vorher	Nachher
   Date Added	ergänzt	—	2026-11-10
   Due Date	ergänzt	—	2026-11-10
   Required Action	ergänzt	—	2026-11-10
   Vulnerability Name	ergänzt	—	2026-11-10

   Kennung der Quelle: 9119a7d8-5eab-497f-8521-727c672e3725

5. 19.10.2026Eintrag geändertCISA ADP

   CISA-Einschätzung (SSVC): Ausnutzung: keine bekannt, automatisierbar: nein

   Einzeländerung im Original anzeigen

   Einzeländerungen dieses Ereignisses im Original der NVD

   Art	Aktion	Vorher	Nachher
   SSVC-Einschätzung	ergänzt	—	{"id":"CVE-2026-111793","role":"CISA Coordinator","options":[{"exploitation":"none"},{"automatable":"no"},{"technicalImpact":"partial"}],"version":"2.0.3","timestamp":"2026-10-19T15:27:28.876275Z"}

   Kennung der Quelle: 134c704f-9b21-4f2e-91b3-4a467353bcc0

Verknüpfte Advisories

• Bedrohungsakteure nutzen Sicherheitslücken in Openwave und Cisco BroadWorksSecurityWeek11.11.2026