🔴 CVE-2026-50208: Critical Luecke in Acer Connect_M6E_5G_Firmware

„`html

Zusammenfassung

CVE-2026-50208 ist eine kritische Sicherheitslücke (CVSS 9.4) in der Acer Connect_M6E_5G_Firmware, die die TLS-Zertifikatvalidierung deaktiviert und hart codierte DES-Verschlüsselungsschlüssel verwendet. Diese Kombination ermöglicht Man-in-the-Middle-Angriffen die vollständige Entschlüsselung von Netzwerkverkehr.

Betroffene Systeme

Primär betroffen ist die Acer Connect_M6E_5G_Firmware. Benutzer dieses 5G-Modems sollten prüfen, ob ihre Geräte aktualisiert sind. Die Schwachstelle wurde netzwerkbasiert ausgelöst, weshalb eine physische Nähe nicht erforderlich ist.

Technische Details

Die Sicherheitslücke basiert auf zwei kritischen Implementierungsfehlern:

• TrustAllCerts-Routine: Die Zertifikatsvalidierung wird vollständig umgangen. Das Gerät akzeptiert alle TLS-Zertifikate ohne Authentifizierungsprüfung.
• Hardcodierte DES-Schlüssel: Symmetrische Verschlüsselungsschlüssel sind im Firmware-Code enthalten und nicht dynamisch generiert.

Ein Angreifer kann diese Schwachstellen kombinieren, um sich als vertrauenswürdiger Kommunikationspartner auszugeben und sämtliche verschlüsselten Verbindungen zu entschlüsseln. DES ist kryptographisch gebrochen und bietet heute keine Sicherheit mehr.

Empfohlene Massnahmen

• Sofortige Firmware-Aktualisierung: Aktualisieren Sie die Connect_M6E_5G auf die neueste gepatchte Version.
• Netzwerk-Isolation: Begrenzen Sie die Konnektivität des betroffenen Geräts bis zur Aktualisierung.
• Traffic-Monitoring: Überwachen Sie Netzwerkaktivitäten auf verdächtige Verbindungen.
• Passwort-Änderung: Ändern Sie Geräte-Anmeldedaten nach dem Patching.

Bewertung

Mit CVSS 9.4 handelt es sich um eine kritische Sicherheitslücke mit hohem Exploitationspotential. Die Kombination aus deaktivierter Validierung und schwacher Verschlüsselung macht dieses Gerät zum bevorzugten Angriffsvektor. Ein Patch ist verfügbar und sollte unverzüglich eingespielt werden.

„`