„`html
CVE-2026-45565: Command Injection in Roxy-WI
Zusammenfassung
Eine kritische Sicherheitslücke in Roxy-WI (Versionen 8.2.6.4 und älter) ermöglicht es Angreifern, Command-Injection-Anschläge durchzuführen. Die Schwachstelle liegt in der unzureichenden Validierung von Eingabefeldern durch den zentralisierten Pydantic-Validator EscapedString. Durch geschicktes Bypassing des Filters können Shell-Metazeichen in sensiblen Feldern eingeschleust werden.
Betroffene Systeme
- Roxy-WI Version 8.2.6.4 und älter
- Webinterface fĂĽr HAProxy, Nginx, Apache und Keepalived Management
- Alle installierten Instanzen ohne Patch
Technische Details
Die Schwachstelle existiert in der Datei app/modules/roxywi/class_models.py (Zeilen 16-30). Der EscapedString-Validator nutzt eine if/elif/elif/else-Kontrollstruktur, die unvollständig ist. Anfragen, die mit Shell-Metazeichen wie ;, &, |, $ oder Backticks enden, umgehen die Sicherheitsprüfung.
Ein Angreifer kann beispielsweise einen Payload wie .. mit einem nachfolgenden Semikolon kombinieren: ..;. Dies fĂĽhrt dazu, dass der Validator den ..-Part nicht blockiert und das Ergebnis nicht durch shlex.quote() escaed wird. Dies gilt fĂĽr mehrere kritische Felder: SSH-Anmeldedaten, Benutzernamen und Beschreibungen.
Die fehlende Implementierung der Metazeichen-Filterung in allen Code-Pfaden ermöglicht die Einschleusung von Shell-Kommandos auf dem verwalteten Server.
Empfohlene Massnahmen
- Umgehende PrĂĽfung auf betroffene Roxy-WI-Installationen
- Isolation anfälliger Systeme vom Produktionsnetzwerk
- Monitoring auf verdächtige SSH-Aktivitäten implementieren
- Auf verfĂĽgbare Sicherheits-Updates warten und einspielen
- Input-Validierung auf Applikationsebene verstärken
- Web Application Firewall (WAF) mit entsprechenden Regeln konfigurieren
Bewertung
CVSS Score: 8.1 (High)
Angriffsvektor: Network | Authentifizierung: Erforderlich
Aktuell keine öffentlich verfügbaren Patches. Sicherheitsupdate wird von den Entwicklern erwartet.
„`