Die Entwickler von Vaultwarden haben am 5. Oktober die Version 1.37.4 veröffentlicht. Sie schließt sieben Sicherheitslücken, eine davon mit hoher Schwere. In der Ankündigung raten die Entwickler ausdrücklich dazu, so schnell wie möglich zu aktualisieren.
Was Vaultwarden ist
Vaultwarden ist ein freier Server für die Apps und Browser-Erweiterungen von Bitwarden. Wer ihn selbst betreibt, hat alle Passwörter auf dem eigenen Server und teilt gemeinsame Zugänge über Organisationen und Sammlungen. Wie das im Betrieb aussieht, beschreibt unser Ratgeber Vaultwarden im Unternehmen.
Die sieben Sicherheitslücken
Laut Ankündigung betreffen die Lücken diese Bereiche, in Klammern die Einstufung nach CVSS:
- Sperren von Organisationsmitgliedern (hoch, 8,1)
- Zwei-Faktor-Anmeldung (mittel, 6,8)
- Einladungen in Organisationen (mittel, 6,8)
- Dateianhänge (mittel, 6,5)
- Ereignisprotokolle von Organisationen (mittel, 4,3)
- Teilen von Einträgen (mittel, 4,3)
- API-Schlüssel von Organisationen (niedrig, 3,8)
Dazu kommen aktualisierte Abhängigkeiten und kleinere Verbesserungen. Die Details zu den einzelnen Lücken halten die Entwickler vorerst zurück, bis CVE-Nummern vergeben sind. Bis dahin ist nicht öffentlich, wie sich die Lücken genau ausnutzen lassen. Das ist ein guter Grund, das Update nicht aufzuschieben, denn sobald die Details erscheinen, kann sie jeder nachlesen.
Ende September hatten wir über eine Lücke in OIDCWarden berichtet, durch die gesperrte Mitglieder weiter auf gemeinsame Passwörter zugreifen konnten. Die Korrektur dafür stammte aus dem Code von Vaultwarden und war damals in keiner offiziellen Vaultwarden-Version enthalten. Ob die jetzt gemeldete Lücke beim Sperren von Mitgliedern genau diese ist, lässt sich erst sagen, wenn die Details veröffentlicht sind. Mehr dazu im Beitrag OIDCWarden 2026.9.0-2.
API-Schlüssel der Organisation erneuern
Bis zu dieser Version konnten auch Administratoren einer Organisation deren API-Schlüssel einsehen. Die Entwickler empfehlen deshalb: Wenn es in einer Organisation Administratoren gibt, denen Sie nicht vollständig vertrauen, erneuern Sie den Schlüssel nach dem Update. Das geht in der Admin-Konsole der Organisation unter Einstellungen mit „API-Schlüssel rotieren“. Programme, die den alten Schlüssel nutzen, etwa ein Abgleich mit dem Verzeichnisdienst, brauchen danach den neuen.
Was sich beim Update ändert
Reverse Proxy
Wer Vaultwarden hinter einem Reverse Proxy betreibt und die Einstellung IP_HEADER auf X-Forwarded-For gesetzt hat, sollte genau hinsehen. Als Adresse des Besuchers gilt jetzt die rechteste Adresse in diesem Header, die nicht in IP_HEADER_TRUSTED_PROXIES steht. Bisher war es die linkeste. Stehen mehrere Proxys hintereinander, zum Beispiel ein CDN vor nginx, müssen alle in IP_HEADER_TRUSTED_PROXIES eingetragen sein. Sonst landet die Adresse des vorderen Proxys in den Protokollen und in der Begrenzung von Anmeldeversuchen. Die Begrenzung kann dann alle Nutzer gemeinsam treffen, weil sie für den Server alle von derselben Adresse kommen.
Entfernte Einstellungen
Einige Feature-Flags werden von keinem aktuellen Client mehr gelesen und sind entfallen, unter anderem ssh-agent, mutual-tls und mehrere Flags für die biometrische Anmeldung unter Windows und Linux. Steht eines davon noch in EXPERIMENTAL_CLIENT_FEATURE_FLAGS, schreibt Vaultwarden beim Start eine Warnung ins Protokoll, und Einstellungen im Admin-Bereich lassen sich erst wieder speichern, wenn der Eintrag entfernt ist. Auch DUO_USE_IFRAME für die alte Duo-Anmeldung im eingebetteten Fenster ist entfallen und wird ignoriert.
Sends und alte Schnittstellen
Der Befehl zum Empfangen eines Sends funktioniert mit der Kommandozeile von Bitwarden in Version 2026.4.2 und älter nicht mehr. Das gilt bei Bitwarden selbst schon seit Version 2026.8.0. Sends erstellen und verwalten klappt weiter mit allen Clients. Zwei alte Schnittstellen für Registrierung und Anmeldung sind entfernt, laut Entwicklern nutzt sie kein aktueller Client mehr.
MariaDB und MySQL
Wer das Alpine-Image von Vaultwarden mit einem MariaDB- oder MySQL-Server ohne TLS-Verschlüsselung nutzt, bekommt nach dem Update möglicherweise keine Verbindung zur Datenbank. Abhilfe schafft die Umgebungsvariable MARIADB_TLS_DISABLE_PEER_VERIFICATION=1.
Neue E-Mail-Vorlage
Nach einer Anmeldung mit einem Wiederherstellungscode für die Zwei-Faktor-Anmeldung verschickt Vaultwarden jetzt eine eigene E-Mail. Wer eigene Vorlagen pflegt, findet sie unter email/recover_twofactor.
Was jetzt zu tun ist
Wer Vaultwarden betreibt, sollte auf 1.37.4 aktualisieren. Vorher gehört eine Sicherung der Datenbank und des Datenverzeichnisses dazu. Bei Docker empfiehlt es sich, die Versionsnummer als Tag anzugeben, also 1.37.4, und nicht einfach die jeweils neueste Fassung zu ziehen. Vor dem Update lohnt ein Blick auf drei Punkte: die Proxy-Kette in IP_HEADER_TRUSTED_PROXIES, alte Einträge in EXPERIMENTAL_CLIENT_FEATURE_FLAGS und, beim Alpine-Image mit MariaDB, die TLS-Einstellung.
Wer noch 1.37.1 oder älter einsetzt, bekommt mit aktuellen Apps Probleme: Laut Entwicklern ist Version 1.37.2 vom 22. August Voraussetzung für die Bitwarden-Clients ab Version 2026.8.0. Nach dem Update auf 1.37.4 sollten Sie, wie oben beschrieben, prüfen, ob der API-Schlüssel der Organisation erneuert werden muss.
Alle Änderungen im Detail stehen in der Ankündigung von Vaultwarden 1.37.4 auf GitHub.