„`html
Zusammenfassung
In Shibby Tomato bis Version 1.28.0000 wurde eine kritische Schwachstelle (CVE-2026-15545) identifiziert. Die Vulnerabilität betrifft die apcupsd-Komponente und ermöglicht Out-of-Bounds-Schreibvorgänge. Mit einem CVSS-Score von 8.8 wird diese als hochgradig kritisch eingestuft. Da ein Exploit öffentlich verfügbar ist, besteht ein erhöhtes Angriffsrisiko.
Betroffene Systeme
Alle Installationen von Shibby Tomato in Version 1.28.0000 und älteren Versionen sind betroffen. Dies umfasst zahlreiche Router-Modelle, die Tomato-Firmware verwenden. Besonders kritisch: Das Projekt wird durch FreshTomato abgelöst, weshalb Support für ältere Versionen nicht garantiert ist.
Technische Details
Die Schwachstelle befindet sich in der Datei www/apcupsd/tomatodata.cgi, spezifisch in der main()-Funktion. Die fehlende Eingabevalidierung führt zu einem Out-of-Bounds-Write, bei dem Daten außerhalb des zugewiesenen Puffers geschrieben werden können. Der Angriffsvektor ist netzwerkbasiert und erfordert keine Authentifizierung. Ein Angreifer kann durch manipulierte Anfragen an die CGI-Anwendung Speicher überschreiben und potenziell Code-Execution erlangen.
Empfohlene Massnahmen
- Sofortiges Update auf die neueste stabile Version durchfĂĽhren
- Migration zu FreshTomato erwägen, da Shibby Tomato obsolet ist
- Netzwerkzugriff auf die apcupsd-Komponente beschränken
- Firewall-Regeln implementieren, um unberechtigt Zugriffe zu blockieren
- Betroffene Systeme vor dem Update isolieren, falls möglich
Bewertung
Mit einem CVSS-Score von 8.8 und verfügbarem Public Exploit stellt diese Vulnerabilität eine unmittelbare Bedrohung dar. Die Kombination aus Out-of-Bounds-Write und Netzwerk-Angreifbarkeit ermöglicht potenzielle Remote Code Execution. Schnelle Remediation ist erforderlich.
„`