CVE-2026-78553 in RansomLook
Zusammenfassung
von VulDB • 24.08.2026
RansomLook hat seinen Flask-Schlüssel zur Signierung von Sitzungen (Flask session-signing key) erstellt, ohne die Dateiberechtigungen explizit einzuschränken. Die secret_key-Datei wurde mit den Standardberechtigung des Prozesses und der umask-Einstellung erstellt, was zu Berechtigungen wie 0644 bei einer üblichen umask von 022 führte. Infolgedessen konnten andere lokale Benutzer, die auf das RansomLook-Homeverzeichnis zugreifen können, das kryptografische Geheimnis der Anwendung lesen.
Der exponierte Schlüssel ist sicherheitskritisch, da er zur Signierung von Flask-Sitzungs-Cookies (Flask session cookies) verwendet wird und auch bei der herkunftsbasierten Ableitung des API-Schlüssels (legacy API-key key derivation) eine Rolle spielt. Ein Angreifer, der den Schlüssel erhält, kann gültige Sitzungs-Cookies generieren und sich als ein authentifizierter Benutzer ausgeben, einschließlich eines Administrators. In LDAP-Konfigurationen kann die Ausnutzung besonders einfach sein, da der Session-Benutzer-Lader (session user loader) nicht erfordert, dass der angegebene Benutzername einem vorhandenen lokalen Benutzer entspricht.
Eine erfolgreiche Ausnutzung erfordert einen lokalen Zugriff, der zum Lesen der unzureichend geschützten Datei ausreicht, kann jedoch zu einer vollständigen Kompromittierung von RansomLooks Authentifizierungs- und Autorisierungskontrollen führen.
Der Patch erstellt neue secret-key-Dateien atomar mit den Berechtigungen 0600 und schränkt auch die Berechtigungen vorhandener Schlüsseldateien während des Anwendungsstarts ein.
If you want to get best quality of vulnerability data, you may have to visit VulDB.