CVE-2025-66954 – Buffalo LinkStation Benutzernamen-Enumeration via IDOR

Zusammenfassung

Eine Schwachstelle in der Buffalo LinkStation Firmware Version 1.85-0.01 ermöglicht es nicht authentifizierten oder Gäste-Benutzern, gültige Benutzernamen und deren zugehörige Berechtigungsrollen zu enumerieren.

Das Problem entsteht durch unzureichende Zugriffskontrolle im /nasapi-Endpunkt, was die Ausnutzung von Insecure Direct Object Reference (IDOR) ermöglicht.

---

CVE-Informationen

• CVE-ID: CVE-2025-66954
• Status: Reserviert (Veröffentlichung ausstehend)
• Anbieter: Buffalo
• Produkt: LinkStation
• Betroffene Version: 1.85-0.01
• Komponente: /nasapi-Endpunkt
• Schwachstellentyp: IDOR (Insecure Direct Object Reference)
• Angriffsvektor: Remote

---

CVSS v3.1 Bewertung

Basisbewertung: 6.5 (Mittel)
Vektor: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N

Aufschlüsselung

• Angriffsvektor (AV): Netzwerk
• Angriffskomplexität (AC): Niedrig
• Erforderliche Berechtigungen (PR): Niedrig (Gastzugang)
• Benutzerinteraktion (UI): Keine
• Scope (S): Unverändert
• Vertraulichkeit (C): Hoch
• Integrität (I): Keine
• Verfügbarkeit (A): Keine

---

Auswirkung

Diese Schwachstelle ermöglicht es Angreifern mit Gastzugang, Folgendes zu tun:

• Gültige Benutzernamen enumerieren
• Zugehörige Berechtigungsrollen abrufen
• Zusätzliche Benutzermetadaten abrufen

Preisgegebene Informationen

• Benutzername
• Benutzer-ID
• Kategorie
• Rolle
• Beschreibung
• Kontingent
• Gruppen
• Primäre Gruppe

Sicherheitsauswirkung

• Informationsoffenlegung: Ja
• Privilegieneskalation (indirekt): Möglich durch Aufklärung

---

Technische Details

Der /nasapi-Endpunkt führt keine ordnungsgemäße Autorisierungsprüfung bei der Verarbeitung benutzerbezogener Abfragen durch.

Durch Ändern eines Anforderungsparameters kann ein Benutzer mit niedrigen Berechtigungen oder ein Gast Informationen über andere Benutzer abrufen.

Beispiel-Endpunkt

/nasapi

Ursache

• Fehlende Autorisierungsprüfungen
• Insecure Direct Object Reference (IDOR)
• Benutzergesteuerter Parameter nicht validiert

---

Proof of Concept (PoC)

Aus Gründen des Missbrauchsschutzes redigiert. Auf verantwortungsvolle Anfrage erhältlich.

---

Abhilfemaßnahmen

Laut Hersteller:

Buffalo hat die Schwachstelle bestätigt, wird jedoch keinen Patch veröffentlichen.

Empfohlene Abhilfemaßnahme

Deaktivieren Sie das Gastbenutzerkonto, um unbefugten Zugriff zu verhindern.

---

Reaktion des Herstellers

Buffalo hat das Problem anerkannt und erklärt:

• Es wird kein Patch veröffentlicht
• Die offengelegten Daten werden als nicht kritisch eingestuft
• Die Abhilfemaßnahme ist ausreichend

---

Zeitleiste

• Entdeckt von: Zaid Shaikh
• Hersteller benachrichtigt: [Dec 17, 2025]
• Reaktion des Herstellers: Bestätigt, kein Fix geplant
• CVE reserviert: 2025
• Öffentliche Offenlegung: [Apr 1,2026]

---