„`html
Zusammenfassung
Die Sicherheitslücke CVE-2026-71949 betrifft D-Link DWR-M961 Router mit Hardware-Version C1 und Firmware-Versionen vor 1.1.5_C1_202607071108. Eine Command-Injection-Vulnerabilität im Interface /boafrm/formUSSDSetup ermöglicht remote Angreifern die Ausführung beliebiger Befehle mit root-Privilegien. Der CVSS-Score von 9.8 klassifiziert die Schwachstelle als kritisch.
Betroffene Systeme
Folgende Konfigurationen sind betroffen:
- D-Link DWR-M961 Geräte
- Hardware-Version: C1
- Firmware-Versionen: vor 1.1.5_C1_202607071108
Technische Details
Die Vulnerabilität existiert in der Web-Management-Schnittstelle des Routers. Das Interface /boafrm/formUSSDSetup validiert Benutzereingaben in den Parametern ussdValue und selectMenuValue nicht ausreichend. Dies ermöglicht Command-Injection-Angriffe durch nicht bereinigter Eingabefelder.
Ein remote Angreifer kann ohne Authentifizierung über das Netzwerk speziell crafted HTTP-Anfragen versenden. Durch die Injection von Shell-Metazeichen oder Befehlen werden diese direkt vom System mit root-Privilegien interpretiert und ausgeführt. Dies ermöglicht vollständige Systemkompromittierung.
Empfohlene Massnahmen
- Sofortige Massnahmen: Betroffene Geräte isolieren oder vom Netzwerk trennen, falls Firmware-Updates nicht verfügbar sind
- Firmware-Update: Auf Version 1.1.5_C1_202607071108 oder höher aktualisieren
- Netzwerk-Segmentierung: Zugriff auf die Web-Management-Schnittstelle auf vertrauenswürdige IPs beschränken
- Monitoring: Logs auf verdächtige Zugriffe zur /boafrm/formUSSDSetup prüfen
- Passwort-Änderung: Schwache Standard-Anmeldedaten sofort ändern
Bewertung
Mit einem CVSS-Score von 9.8 stellt diese Vulnerabilität eine kritische Bedrohung dar. Die Kombination aus fehlender Authentifizierung, Netzwerkzugriff und root-Ausführung ermöglicht Angreifern totale Kontrolle über betroffene Systeme. Ein Patch ist derzeit nicht verfügbar. Betroffene Organisationen sollten sofortige Mitigationsmassnahmen umsetzen.
„`