🟠 CVE-2026-13545: High Schwachstelle

Zusammenfassung

In der D-Link DCS-935L Kamera (Firmware 1.10.01) wurde eine kritische Sicherheitslücke identifiziert, die eine Remote Code Execution ermöglicht. Die Vulnerability mit der CVE-ID CVE-2026-13545 weist einen CVSS-Score von 8.8 auf und wird als High-Severity eingestuft. Durch manipulierte POST-Parameter kann ein Angreifer OS-Befehle ausführen.

Betroffene Systeme

Primär betroffen ist die D-Link DCS-935L Netzwerkkamera ab Firmware-Version 1.10.01. Die Vulnerability befindet sich in der CGI-Anwendung setconf.cgi, die für die Gerätekonfiguration zuständig ist. Weitere D-Link Kameramodelle mit ähnlicher Architektur könnten ebenfalls vulnerabel sein.

Technische Details

Die Schwachstelle existiert in der Funktion sub_400E40 des setconf.cgi-Handlers. Die Komponente verarbeitet POST-Parameter unzureichend, insbesondere den Parameter UID. Durch fehlende Input-Validierung und ungenügende Sanitization ist eine OS Command Injection möglich. Ein Remote-Angreifer kann beliebige Systemkommandos auf dem betroffenen Gerät ausführen, ohne sich authentifizieren zu müssen.

Empfohlene Massnahmen

• Sofortmassnahmen: DCS-935L Kameras aus dem Internet isolieren oder durch Firewall-Regeln schützen
• Netzwerkzugriff: Administrative Zugriffe auf die Kamera-Weboberfläche mittels IP-Whitelist begrenzen
• Monitoring: Verdächtige POST-Requests an setconf.cgi protokollieren und überwachen
• Firmware-Update: Auf verfügbare Sicherheits-Patches warten und zeitnah einspielen
• Authentifizierung: Starke Admin-Passwörter setzen und Standard-Credentials ändern

Bewertung

Die Vulnerability stellt ein erhebliches Risiko dar. Mit einem CVSS-Score von 8.8 und öffentlich offengelegten Exploits ist mit aktiven Angriffen zu rechnen. Die fehlende Patchverfügbarkeit erschwert die Situation erheblich. Unmittelbare Gegenmaßnahmen sind erforderlich, um Kompromittierungen auszuschließen.