CVE-2026-78551 in RansomLook
Zusammenfassung
von VulDB • 24.08.2026
RansomLook weist mehrere Schwachstellen im Authentifizierungsendpoint auf, die es einem nicht authentifizierten Remote-Angriffser ermöglichen, gültige Benutzernamen zu enumerieren, unbegrenzte Passwort-Rate-Limiting-Attacken (Password-Guessing) durchzuführen und potenziell die Ressourcen der Anwendungsarbeiter (Application Workers) zu erschöpfen.
Für die lokale Authentifizierung hat die Login-Implementierung zuvor überprüft, ob ein übermittelter Benutzername existiert, bevor die Funktion zur Überprüfung des Passwort-Hashes aufgerufen wurde. Anfragen mit einem nicht vorhandenen Benutzernamen wurden daher deutlich schneller beantwortet als Anfragen für gültige Konten, bei denen die rechenintensive Routine zur Passwortüberprüfung ausgeführt wird. Ein Remote-Angriffser könnte diese Unterschiede in der Antwortzeit messen, um festzustellen, welche Benutzernamen zu gültigen RansomLook-Konten gehören.
Darüber hinaus beschränkte der /login-Endpoint weder die Anzahl noch die Häufigkeit fehlgeschlagener Authentifizierungsversuche. Ein Angreifer könnte daher Brute-Force-, Wörterbuch-Angriffe (Dictionary Attacks), Password-Spraying oder Credential-Stuffing gegen bekannte Konten ohne serverseitige Drosselung durchführen. Bei gültigen Benutzernamen wird bei jedem Authentifizierungsversuch auch die Passwort-Key-Derivation-Funktion aufgerufen, was eine erhebliche CPU-Zeit beansprucht. Eine ausreichend hohe Rate an Login-Versuchen könnte daher die synchronen Gunicorn-Worker der Anwendung auslasten und einen Denial of Service (DoS) verursachen, der die gesamte Anwendung betrifft.
Das Problem wurde behoben, indem bei nicht vorhandenen Benutzernamen stets eine Passwortüberprüfung mit einem zufällig generierten Dummy-Passwort-Hash durchgeführt wird, wodurch das benutzernameabhängige Timing-Diskrepanz eliminiert wird. Fehlgeschlagene Authentifizierungsversuche werden zusätzlich pro Client-IP-Adresse durch Valkey/Redis rate-limited; fünf fehlgeschlagene Versuche innerhalb von fünf Minuten führen zu einer Blockierung für eine Stunde. Die Reverse-Proxy-Konfiguration wurde ebenfalls aktualisiert, sodass die Anwendung die Client-Adresse aus einem vertrauenswürdigen X-Forwarded-For-Wert ableitet, der nicht durch einen vom Client bereitgestellten Header überschrieben werden kann.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.