🟠 CVE-2026-18598: High Schwachstelle

„`html

Zusammenfassung

Die Schwachstelle CVE-2026-18598 betrifft GL.iNet GL-MT3000 Geräte bis Version 4.4.5. Eine Command-Injection-Anfälligkeit im RPC-Plugin „logread“ ermöglicht unauthentifizierten Fernzugriff zur Ausführung beliebiger Systemkommandos. Der Exploit ist öffentlich verfügbar.

Betroffene Systeme

• GL.iNet GL-MT3000 (Versionen bis 4.4.5)
• Komponente: Logread Lua RPC Plugin (/usr/lib/oui-httpd/rpc/logread)
• Funktion: logread.get_system_log

Technische Details

Die Anfälligkeit liegt in der unzureichenden Validierung des Parameters „module“ in der Funktion logread.get_system_log. Der Parameter wird direkt in einen Systembefehl eingebunden, ohne dass eine Sanitierung stattfindet. Dies ermöglicht Command-Injection-Angriffe:

logread.get_system_log(module="value'; malicious_command; echo '")

Ein Angreifer kann beliebige Shell-Kommandos mit den Privilegien des Webservers ausführen. Die HTTP-RPC-Schnittstelle ist standardmäßig über das Netzwerk erreichbar, wodurch keine lokale Authentifizierung erforderlich ist.

Empfohlene Massnahmen

• Sofort: Firmware-Updates einspielen, sobald verfügbar
• Netzwerkzugriff auf die Web-Management-Schnittstelle (Port 80/443) einschränken
• Firewall-Regeln implementieren zur Isolation betroffener Geräte
• Systeme überwachen auf verdächtige logread-RPC-Anfragen
• Betroffene Geräte inventarisieren und dokumentieren
• Gegebenenfalls auf alternative Firmware oder Geräte ausweichen

Bewertung

CVSS 8.8 (High): Die Kombination aus Fernzugänglichkeit (Network Vector), fehlender Authentifizierung und Möglichkeit zur Codeausführung führt zu kritischer Einstufung. Da Patches nicht verfügbar sind und der Exploit öffentlich bekannt ist, sollte sofortige Mitigation erfolgen.

„`