🟠 CVE-2026-18600: High Schwachstelle

Zusammenfassung

Die Sicherheitslücke CVE-2026-18600 betrifft GL.iNet GL-MT3000 Router in den Versionen bis 4.4.5. Durch eine Command-Injection-Schwachstelle in der Network Lua RPC Plugin können Angreifer beliebige Befehle mit erhöhten Privilegien ausführen. Die Vulnerabilität ist öffentlich bekannt und wird aktiv ausgenutzt.

Betroffene Systeme

• GL.iNet GL-MT3000 bis Version 4.4.5
• Alle Firmware-Versionen der genannten Serie
• Standardinstallationen mit aktiviertem RPC-Interface

Angriffsvektor: Netzwerk (Network) | Authentifizierung: Nicht erforderlich

Technische Details

Die Schwachstelle liegt in der RPC-Funktion network.switch_info und network.switch_status im Pfad /usr/lib/oui-httpd/rpc/network. Der Parameter switch wird nicht ausreichend validiert, was zu Command-Injection führt.

Angriffsszenario: Ein Angreifer kann über das HTTP-RPC-Interface manipulierte Anfragen mit Shell-Metazeichen im switch-Parameter senden. Diese werden direkt an die systemnahe Verarbeitung weitergeleitet, wodurch arbiträre Befehle ausgeführt werden.

CVSS-Score: 8.8 (High) – kritischer Schweregrad aufgrund der Remote-Ausführbarkeit und fehlenden Authentifizierungsanforderung.

Empfohlene Massnahmen

• Sofort: Isolieren Sie betroffene GL-MT3000 Geräte vom Produktivnetz
• Firewall-Regeln: Beschränken Sie Zugriff auf Port 80/443 und das RPC-Interface auf vertrauenswürdige Quellen
• Überwachung: Monitoren Sie verdächtige HTTP-Anfragen an /usr/lib/oui-httpd/rpc/
• Firmware-Update: Warten Sie auf Patch und spielen Sie diesen zeitnah ein
• Alternative: Betroffene Geräte durch sichere Alternativen ersetzen

Bewertung

Risiko: Kritisch – Remote Code Execution ohne Authentifizierung. Die öffentliche Verfügbarkeit von Exploits erhöht die Angriffswahrscheinlichkeit erheblich. Sofortiges Handeln erforderlich.

Status: Patch ausstehend. Der Hersteller bestätigte die Sicherheitslücke.