🟠 CVE-2026-19983: High Schwachstelle

„`html

Zusammenfassung

Die Schwachstelle CVE-2026-19983 betrifft mehrere GL.iNet Router-Modelle der Version 4.8.x. Es handelt sich um eine OS-Command-Injection-Vulnerabilität in der NAS Command Service Komponente, die eine CVSS-Bewertung von 8.3 (High) aufweist. Die Schwachstelle ermöglicht es unauthentifizierten Angreifern, beliebige Befehle auf dem betroffenen System auszuführen.

Betroffene Systeme

Folgende GL.iNet Router-Modelle sind betroffen:

• GL.iNet A1300 (Version 4.8.x)
• GL.iNet AX1800 (Version 4.8.x)
• GL.iNet AXT1800 (Version 4.8.x)
• GL.iNet MT2500 (Version 4.8.x)
• GL.iNet MT3000 (Version 4.8.x)
• GL.iNet MT6000 (Version 4.8.x)
• GL.iNet X3000 (Version 4.8.x)
• GL.iNet XE3000 (Version 4.8.x)

Technische Details

Die Vulnerabilität befindet sich im Binary /usr/bin/gl_nas_sys, das Teil des NAS Command Services ist. Durch unzureichende Input-Validierung in der Verarbeitung von Parametern ermöglicht die Anwendung die Injection von Betriebssystem-Befehlen. Der Angriffsvektor ist netzwerkbasiert (Network), wodurch eine Remote-Exploitation ohne physischen Zugriff möglich ist. Der genaue Angriffsvektor und die erforderlichen Bedingungen sind noch nicht vollständig dokumentiert.

Empfohlene Massnahmen

Sofortmassnahmen:

• Alle betroffenen GL.iNet Geräte auf Firmware-Version 4.9.0 oder höher aktualisieren
• Netzwerkzugriff auf die NAS Command Service-Schnittstelle einschränken
• Firewall-Regeln implementieren, um nicht autorisierte Zugriffe zu blockieren
• Regelmässige Überwachung auf verdächtige Aktivitäten durchführen

Bewertung

Diese Schwachstelle besitzt ein erhebliches Risiko durch die Kombination aus hohem CVSS-Wert (8.3), Remote-Ausnutzbarkeit und fehlender Authentifizierungsanforderung. Die Verfügbarkeit eines Patches (Version 4.9.0) macht ein zeitnahes Update essentiell. Betroffene Organisationen sollten diese Updates priorisieren.

„`