Angriffe auf Rejetto HFS nutzen vorhersehbare Sitzungssignaturen für Remote-Codeausführung

VulnCheck meldet aktive Ausnutzungsversuche gegen verwundbare Installationen des Rejetto HTTP File Server in den USA. Das Unternehmen entdeckte die Aktivitäten am 1. Oktober 2026 und schreibt sie einem nicht näher bezeichneten Bedrohungsakteur in China zu.

Die Angriffe zielen auf CVE-2026-61500, eine kritische Schwachstelle bei der Generierung und Absicherung von HFS-Sitzungscookies. Ein nicht authentifizierter Angreifer kann möglicherweise den Signaturschlüssel ermitteln, eine gültige Administratorsitzung erstellen und über die Konfigurationsfunktion server_code serverseitigen JavaScript-Code ausführen.

Die verfügbaren Belege bestätigen Ausnutzungsversuche gegen tatsächlich verwundbare Hosts. Sie belegen jedoch nicht, dass die Versuche zu erfolgreichen Kompromittierungen geführt haben. Auch betroffene Organisationen oder Opferzahlen wurden in den vorliegenden Berichten nicht genannt.

Vorhersehbare Zufallswerte machen den Sitzungssignaturschlüssel angreifbar

Die Schwachstelle betrifft den im Advisory beschriebenen HFS-3.x-Zweig, konkret die Versionen 3.0.0 bis 3.2.0. Sie ist als CWE-338: Verwendung eines kryptografisch schwachen Pseudozufallszahlengenerators (PRNG) klassifiziert.

HFS leitet den Signaturschlüssel für Sitzungscookies aus dem nicht kryptografischen Zufallszahlengenerator Math.random() von JavaScript ab. Bei nicht authentifizierten Anmeldeanfragen gibt die Anwendung außerdem Werte zurück, die von demselben Generator erzeugt wurden.

Dadurch kann ein Angreifer den Schlüssel aus der Ferne ermitteln. Laut Schwachstellenbeschreibung kann er einige Anmeldeantworten sammeln, den internen Zustand des Pseudozufallszahlengenerators rekonstruieren und so den zum Signieren der Sitzungscookies verwendeten Schlüssel ableiten.

Mit diesem Schlüssel kann der Angreifer ein Cookie fälschen, das HFS als authentifizierte Administratorsitzung akzeptiert. Dafür sind weder ein gültiges Konto noch ein gestohlenes Passwort oder eine Interaktion mit einem Nutzer erforderlich.

Die Auswirkungen gehen über eine Umgehung der Authentifizierung hinaus. Nach Erlangung administrativer Rechte kann der Angreifer die server_code-Konfigurationsfunktion von HFS missbrauchen, um JavaScript auf dem Server auszuführen. Der Horizon3.ai-Forscher Zach Hanley erklärte zudem, über die Administrations-API ließen sich benutzerdefinierte Endpunkte erstellen, die beliebigen JavaScript-Code ausführen.

Die Angriffskette kann somit von einer nicht authentifizierten Netzwerkanfrage direkt zur administrativen Kontrolle und zur Ausführung von Code aus der Ferne führen.

Ausnutzungsversuche folgten auf technische Details und einen PoC

Die Schwachstelle war bereits mehrere Monate vor den beobachteten Angriffen öffentlich bekannt. Das GitHub Security Advisory GHSA-xxrm-3f86-v97j wurde am 13. Juli 2026 veröffentlicht und aktualisiert. Auf der Advisory-Seite ist auch die Veröffentlichung durch NVD an diesem Datum vermerkt.

Am 30. September 2026 veröffentlichte Hanley eine Analyse, in der er die Schwachstelle als Umgehung der Authentifizierung mit anschließender beliebiger Remote-Codeausführung einordnete. Ein Nachrichtenbericht zufolge half das Modell Mythos von Anthropic bei der Entdeckung der Schwachstelle. Die verfügbaren Informationen belegen diese Behauptung zur KI-gestützten Entdeckung jedoch nicht unabhängig.

Der Sicherheitsforscher Alejandro Ramos, auch bekannt als aramosf, soll Ende September 2026 einen Python-Proof-of-Concept veröffentlicht haben. Dem Bericht zufolge erklärte Ramos, dass sich aus offengelegten Ausgabewerten des V8-Pseudozufallszahlengenerators der Signaturschlüssel ermitteln und eine Administratorsitzung erstellen lasse.

Patrick Garrity von VulnCheck sagte, das Unternehmen habe am 1. Oktober 2026 Ausnutzungsversuche entdeckt – einen Tag, nachdem Horizon3.ai weitere technische Details veröffentlicht hatte. VulnCheck zufolge gingen die Angriffe von einem nicht näher bezeichneten Akteur in China aus, der verwundbare HFS-Systeme in den USA ins Visier nahm.

Diese Zuschreibung beruht auf der Einschätzung von VulnCheck. In den Berichten wird weder der Angreifer genannt noch eine Verbindung zu einer bekannten Bedrohungsgruppe hergestellt. Auch belegen sie nicht, dass die beobachteten Anfragen zur Ausführung von Code geführt haben.

Schweregrad hängt vom Bewertungsrahmen ab

Das GitHub-Advisory stuft die Schwachstelle als kritisch ein und vergibt eine Bewertung von 9,3/10 nach CVSS v4.0. Der vollständige Vektor lautet:

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

Die Basiswerte beschreiben einen über das Netzwerk erreichbaren Angriff mit geringer Komplexität, ohne zusätzliche Angriffsvoraussetzungen, erforderliche Berechtigungen oder Nutzerinteraktion. Bei erfolgreicher Ausnutzung sind die Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit des verwundbaren Systems hoch.

Die NVD-Daten in unserem Archiv weisen nach CVSS v3.1 einen Wert von 9,8 aus. Der zugehörige Vektor lautet:

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Die Werte beruhen auf unterschiedlichen CVSS-Versionen und sind daher nicht als widersprüchliche Messungen auf derselben Skala zu verstehen.

Das GitHub-Advisory nennt außerdem einen EPSS-Wert von 0,857 % und ordnet die Schwachstelle damit dem 57. Perzentil zu. EPSS ist eine Wahrscheinlichkeitsschätzung und keine Bewertung des Schweregrads. Die Beobachtungen von VulnCheck sind davon unabhängige Belege für laufende Ausnutzungsversuche.

Versionsangaben lassen Fragen offen

Im Advisory-Text werden Rejetto HFS 3.0.0 bis 3.2.0 als betroffen aufgeführt. Die strukturierten Metadaten enthalten jedoch sowohl bei „Betroffene Versionen“ als auch bei „Behobene Versionen“ den Eintrag „Unbekannt“.

Einem Nachrichtenbericht zufolge veröffentlichte Rejetto im Juli 2026 mit HFS 3.2.1 eine Fehlerbehebung. Das GitHub-Advisory verweist auf die Version v3.2.1, kennzeichnet sie im strukturierten Versionsfeld aber nicht ausdrücklich als behoben.

Administratoren sollten daher die Versionsinformationen von Rejetto prüfen und die genaue Version jeder eingesetzten HFS-Instanz ermitteln. Systeme mit 3.0.0 bis 3.2.0 sollten umgehend überprüft werden – insbesondere, wenn sie aus nicht vertrauenswürdigen Netzwerken erreichbar sind.

Laut den vorliegenden Berichten besteht die praktische Gegenmaßnahme im Upgrade auf 3.2.1. Wegen der abweichenden Angaben in den Advisory-Metadaten sollten Betreiber sicherstellen, dass das gewählte Paket der von Rejetto bereitgestellten fehlerbereinigten Version entspricht, und sich nicht allein auf automatisierte Advisory-Felder verlassen.

Das bereitgestellte GHSA-Material enthält weder eine Umgehungslösung noch Erkennungsindikatoren. Auch die Berichte nennen keine konkreten Kompromittierungsindikatoren oder Maßnahmen zur Eindämmung. Das bedeutet nicht, dass entsprechende Informationen an anderer Stelle fehlen.

Liegen keine spezifischen Indikatoren aus den Berichten vor, sollten Sicherheitsteams zunächst die eingesetzten Versionen ermitteln und exponierte HFS-3.x-Instanzen ausfindig machen. Soweit die vorhandene Protokollierung dies ermöglicht, sollten sie außerdem administrative Änderungen und die Nutzung von server_code untersuchen. Diese Prüfungen sind jedoch nicht als vom Hersteller bereitgestellte Erkennungsempfehlungen zu verstehen.

Frühere HFS-Schwachstelle steht bereits im CISA-Katalog ausgenutzter Sicherheitslücken

Rejetto war bereits im Zusammenhang mit der Ausnutzung der separaten Schwachstelle CVE-2024-23692 betroffen. Diese Sicherheitslücke hat nichts mit dem vorhersehbaren Signaturverfahren für Sitzungen in CVE-2026-61500 zu tun.

CVE-2024-23692 ist eine Template-Injection-Schwachstelle, über die ein nicht authentifizierter Angreifer beliebige Befehle ausführen kann, indem er eine präparierte HTTP-Anfrage sendet. Laut Beschreibung von NVD betrifft sie HFS bis einschließlich 2.3m. Diese Version wurde demnach zum Zeitpunkt der Vergabe der CVE-Kennung nicht mehr unterstützt. Ein separates NVD-Produktfeld nennt als Obergrenze ≤ 2.4. Die verfügbaren Einträge bringen diese Angaben nicht in Einklang.

Die ältere Schwachstelle hat einen CVSS-v3.1-Wert von 9,8 und ist mit CWE-1336 sowie CWE-94 verknüpft. Berichten zufolge nutzten mehrere Akteure sie im Juli 2024 aus, um Kryptominer, Trojaner und die Schadsoftware HATVIBE zu installieren.

CISA nahm CVE-2024-23692 am 9. Juli 2024 in den Katalog der bekannten ausgenutzten Sicherheitslücken auf. Als Frist für die Behebung durch Bundesbehörden wurde der 30. Juli 2024 festgelegt. Laut Eintrag wurde die Schwachstelle in Ransomware-Kampagnen eingesetzt.

Die von CISA für diese ältere Schwachstelle vorgeschriebene Maßnahme lautet: „Wenden Sie die vom Hersteller empfohlenen Gegenmaßnahmen an oder stellen Sie die Nutzung des Produkts ein, wenn keine Gegenmaßnahmen verfügbar sind.“ Diese Vorgabe gilt für CVE-2024-23692 und ist keine Umgehungslösung für CVE-2026-61500.

Bei der neu ins Visier genommenen Schwachstelle zur Fälschung von Sitzungen ist jetzt vor allem Folgendes wichtig: HFS-Versionen überprüfen, das passende Rejetto-Update bestätigen und exponierte Installationen absichern, bevor aus Ausnutzungsversuchen ein bestätigter Sicherheitsvorfall wird.