„`html
Zusammenfassung
Eine kritische Command-Injection-Schwachstelle wurde in D-Link DWR-M961 Routern identifiziert. Die Vulnerability mit der Kennzeichnung CVE-2026-71956 ermöglicht es unauthentifizierten Angreifern aus dem Netzwerk, beliebige Befehle mit Root-Privilegien auszuführen. Der CVSS-Wert von 9.8 unterstreicht die kritische Natur dieser Sicherheitslücke.
Betroffene Systeme
Folgende Konfigurationen sind betroffen:
- D-Link DWR-M961 Router
- Hardwareversion: C1
- Softwareversion: 1.1.2_C1_202602110044 und möglicherweise frühere Versionen
Es wird empfohlen, alle betroffenen Geräte zu überprüfen und deren aktuelle Firmware-Version zu dokumentieren.
Technische Details
Die Sicherheitslücke befindet sich in der app.cgi Web-Schnittstelle des Routers. Die Schwachstelle ermöglicht Command Injection über das Parameter-Feld netDig.ping.dst. Dieser Parameter wird bei der Ping-Funktionalität verwendet und wird nicht ausreichend validiert oder gefiltert.
Ein Angreifer kann Metazeichen (Pipes, Semicolons, Command Substitution Operatoren) einschleusen, um zusätzliche Systembefehle auszuführen. Die Befehle werden mit Root-Privilegien ausgeführt, was vollständige Systemkompromittierung ermöglicht.
Beispiel-Payload: 127.0.0.1; malicious_command
Empfohlene Massnahmen
- Sofortmaßnahme: Betroffene Geräte vom Netz trennen oder Zugriff auf app.cgi beschränken
- Netzwerk-Segmentierung: Router isolieren und nur fĂĽr vertrauenswĂĽrdige Administratoren erreichbar machen
- Monitoring: Firewall- und IDS-Logs auf verdächtige Zugriffe zu app.cgi analysieren
- Firmware-Update: Warten auf verfĂĽgbaren Patch von D-Link und diesen umgehend einspielen
- Kontakt mit D-Link: Support kontaktieren fĂĽr Update-VerfĂĽgbarkeit und Zeitrahmen
Bewertung
CVSS v3.1: 9.8 (Critical)
Die Kombination aus Netzwerk-Zugriff, fehlender Authentifizierung und Root-Execution macht dies zu einer kritischen Bedrohung. Da kein Patch verfĂĽgbar ist, mĂĽssen Netzwerkzugriffskontrollen sofort implementiert werden.
„`