🔴 CVE-2026-71950: Critical Schwachstelle

Zusammenfassung

Die Schwachstelle CVE-2026-71950 betrifft D-Link DWR-M961 Router mit Hardware-Version C1 und Firmware-Versionen vor 1.1.5_C1_202607071108. Es handelt sich um eine kritische Command-Injection-Vulnerabilität im Interface /boafrm/formSmsManage, die es unauthentifizierten Angreifern ermöglicht, beliebige Befehle mit Root-Privilegen auszuführen. Der CVSS-Score von 9.8 unterstreicht die kritische Natur dieser Sicherheitslücke.

Betroffene Systeme

• D-Link DWR-M961 (Hardware Version C1)
• Firmware-Versionen: < 1.1.5_C1_202607071108
• Angriffsvektor: Netzwerk (keine Authentifizierung erforderlich)

Technische Details

Die Vulnerabilität existiert im SMS-Management-Formular der Web-Administration. Das action_value-Parameter-Feld wird nicht ausreichend validiert oder bereinigt, bevor es an Shell-Befehle weitergeleitet wird. Ein Angreifer kann durch speziell handgefertigte HTTP-Requests Betriebssystem-Befehle injizieren.

Angriffsszenario: Ein Remote-Attacker sendet eine manipulierte POST-Request mit Payload-Befehlen (z.B. mittels Pipe-Operatoren oder Command-Substitution) an das anfällige Interface. Das System interpretiert die injizierte Syntax und führt diese mit Root-Privilegen aus.

Empfohlene Massnahmen

1. Firmware-Update: Aktualisieren Sie auf die Firmware-Version 1.1.5_C1_202607071108 oder neuer
2. Netzwerk-Isolation: Beschränken Sie den Zugriff auf die Administrationsoberfläche auf vertrauenswürdige IP-Adressen
3. Web-Application-Firewall: Implementieren Sie WAF-Regeln zur Erkennung von Command-Injection-Versuchen
4. Monitoring: Überwachen Sie Zugriffe auf /boafrm/formSmsManage auf verdächtige Parameter
5. Ersatz-Hardware: Falls kein Patch verfügbar ist, erwägen Sie den Einsatz alternativer Geräte

Bewertung

CVSS 9.8 (Critical): Diese Vulnerabilität ermöglicht vollständige Systemkompromittierung ohne Authentifizierung. Das fehlende Sicherheits-Patch erhöht das Risiko erheblich. Betroffene Umgebungen sollten als hochpriorisiert behandelt werden.