Kurzfassung

In Rocket.Chat steckt eine kritische Schwachstelle in der SAML-SSO-Implementierung. Wer eine betroffene Version betreibt, muss davon ausgehen, dass sich mit einem gültigen Signaturnachweis aus dem Identity-Provider unter Umständen eine fremde Identität vortäuschen lässt.

Für Unternehmen ist das heikel, weil SSO oft direkt an interne Kommunikation, Projektkanäle und sensible Abläufe angebunden ist. Ein erfolgreicher Angriff kann damit weit mehr auslösen als nur einen einzelnen unbefugten Login.

Was ist passiert?

Die betroffene Rocket.Chat-Version prüfte SAML-Signaturen zwar, band das Ergebnis aber nicht sauber an die eigentliche SAML-Antwort oder Assertion. Genau diese Lücke nutzt ein Angreifer aus: Er kann ein manipuliertes Dokument mit gefälschten Identitätsattributen einreichen und trotzdem eine gültig wirkende Signatur verwenden, die vom vertrauenswürdigen IdP-Zertifikat stammt.

Praktisch heißt das: Die Anwendung akzeptiert unter Umständen Daten, die sie eigentlich dem verifizierten Inhalt zuordnen müsste, aber nicht korrekt zuordnet. Damit wird aus einer Signaturprüfung kein verlässlicher Identitätsnachweis mehr.

Technische Details

Betroffen sind Rocket.Chat-Versionen vor 8.7.0, 8.6.1, 8.5.2, 8.4.5, 8.3.7, 8.2.7, 8.1.7, 8.0.8 und 7.10.14. Die Schwachstelle ist als kritisch eingestuft.

Der Kernfehler liegt in der SAML-Verarbeitung. Die Signaturprüfung läuft, aber die Validierung ist nicht fest genug an samlp:Response beziehungsweise saml:Assertion gekoppelt. Dadurch wird ein klassischer XML-Signature-Wrapping-Angriff möglich.

Ob weitere Konfigurationen die Ausnutzung erschweren, geht aus der Quelle nicht hervor. Ebenso offen bleibt, ob es bereits bekannte Angriffe in freier Wildbahn gibt.

Wer ist betroffen?

Betroffen sind alle Organisationen, die Rocket.Chat mit SAML SSO in einer der genannten Versionen einsetzen. Das gilt besonders für Umgebungen, in denen Rocket.Chat an zentrale Identitätsdienste wie Azure AD, ADFS, Okta oder andere IdP angebunden ist.

Für DACH-Unternehmen ist das vor allem dort relevant, wo Rocket.Chat als interner Kommunikationskanal genutzt wird. Wer dort auf SSO vertraut, öffnet bei einer Fehlkonfiguration oder einer ungepatchten Instanz direkt die Tür zu internen Chats, Supportabläufen oder Admin-nahen Gruppen.

Privatanwender trifft das Thema nur am Rand. Rocket.Chat läuft zwar auch in kleineren Teams oder Communities, der eigentliche Risikofokus liegt aber klar im Unternehmensumfeld.

Empfohlene Maßnahmen

Priorität eins ist das Update auf eine gefixte Version. Wer Rocket.Chat betreibt, sollte sofort prüfen, ob eine der genannten Zielversionen oder eine neuere Version eingespielt ist.

Danach lohnt ein Blick auf die SSO-Konfiguration. Admins sollten SAML-Settings, IdP-Zertifikate und die Benutzerzuordnung kontrollieren, vor allem wenn in der Vergangenheit Sonderregeln, Attribut-Mappings oder individuelle Anpassungen gebaut wurden.

Wenn ein Patch kurzfristig nicht möglich ist, gehört die Instanz eng überwacht. Prüfen Sie Anmeldeprotokolle, ungewöhnliche Benutzerwechsel, neue Sitzungen und Zugriffe auf sensible Kanäle. Wo möglich, SSO vorübergehend härter begrenzen oder abschalten, bis die Aktualisierung steht.

Einschätzung von CyberSecurity-News.de

Das ist eine ernste Schwachstelle, weil sie einen Kernmechanismus trifft: Identität. Wenn ein Kollaborationstool Benutzer über SAML falsch akzeptiert, geht es nicht um einen Komfortfehler, sondern um einen möglichen Vertrauensbruch im gesamten internen Kommunikationsraum.

Gleichzeitig bleibt die Informationslage knapp. Die Quelle nennt die technische Ursache und die betroffenen Versionen, aber keine Details zu Ausnutzung in der Praxis, keine Hinweise auf aktive Angriffe und keine Einordnung, wie leicht sich das konkret missbrauchen lässt. Genau das sollte man offen sagen, statt den Vorfall künstlich aufzublasen.

Für Betreiber heißt das: nicht diskutieren, patchen. Wer Rocket.Chat mit SSO im produktiven Betrieb nutzt, sollte die Version heute noch prüfen und das Thema in die Update-Priorität nach oben ziehen.

Fazit

CVE-2026-58066 ist eine kritische SAML-Schwachstelle in Rocket.Chat mit direkter Auswirkung auf die Authentifizierung. Betroffene Versionen lassen sich unter Umständen durch einen sauber präparierten SAML-Request täuschen.

Wer Rocket.Chat einsetzt, sollte sofort die Version verifizieren, das Update einspielen und die SSO-Logs auf Auffälligkeiten prüfen. In Umgebungen mit vielen internen Nutzern ist das kein Randthema, sondern ein Fall für sofortige Behandlung.

Quellenangabe

NVD-Eintrag zu CVE-2026-58066: https://nvd.nist.gov/vuln/detail/CVE-2026-58066