🟠 CVE-2026-49203: High Luecke in Acer Connect_M6E_5G_Firmware

„`html

Zusammenfassung

Die Schwachstelle CVE-2026-49203 betrifft die Management-API des Acer Connect_M6E_5G Modems und weist einen CVSS-Wert von 8.3 auf. Die Verwundbarkeit ermöglicht es Angreifern im benachbarten Netzwerk, eSIM-Profile unberechtigt zu manipulieren oder zu löschen, da kritische API-Endpoints keine Autorisierungsprüfungen durchführen.

Betroffene Systeme

Betroffenes Produkt: Acer Connect_M6E_5G_Firmware

Die Schwachstelle betrifft die Management-API-Funktionen zur Verwaltung von cellular eSIM-Profilen. Alle bekannten Firmware-Versionen vor dem Patch sind anfällig.

Technische Details

Angriffsvektor: Adjacent Network (Angriffsquelle im benachbarten Netzwerk)

Die kritischen API-Endpoints zur Allocation und Verwaltung von eSIM-Profilen validieren die Caller-Autorisierung nicht korrekt. Dies ermöglicht es Angreifern, ohne gültige Authentifizierungsnachweise folgende Operationen durchzuführen:

• Remote eSIM-Profile zu überschreiben
• Profile komplett zu löschen
• Unberechtigte Profil-Modifikationen vorzunehmen

Die Schwachstelle resultiert aus unzureichender Input-Validierung und fehlender Access-Control-Implementierung auf API-Ebene.

Empfohlene Massnahmen

1. Sofortige Massnahmen:
   • Firmware-Update auf die gepatchte Version durchführen
   • Management-API-Zugriff auf vertrauenswürdige Netzwerkbereiche beschränken
   • Netzwerk-Segmentierung implementieren
2. Mittelfristig:
   • Alle eSIM-Profile auf unbefugte Änderungen überprüfen
   • Monitoring für verdächtige API-Anfragen aktivieren

Bewertung

CVSS v3.1 Score: 8.3 (High)

Die Einstufung als „High“ ist berechtigt durch die Kombination aus unbegrenzter Erreichbarkeit aus dem benachbarten Netzwerk und der Möglichkeit, kritische eSIM-Konfigurationen zu kompromittieren. Der Patch ist verfügbar und sollte priorisiert werden.

„`