„`html
Zusammenfassung
CVE-2026-57920 ist eine High-Severity-Sicherheitslücke in Peplink InControl 2 bis Version 2.14.2, die einen kritischen Zugriffskontroll-Bypass ermöglicht. Durch Ausnutzung eines Semikolons in der URL-Struktur können unauthentifizierte oder authentifizierte Angreifer auf geschützte REST-API-Endpunkte zugreifen und damit die Sicherheitsarchitektur umgehen.
Betroffene Systeme
- Peplink InControl 2 Version 2.0 bis 2.14.2
- Alle Deployments vor dem Patch-Datum 2026-06-03
- REST-API-Endpunkte im Pfad /rest/o/{orgId}
Technische Details
Angriffsvektor: Network (Remote ausnutzbar)
CVSS Score: 7.7 (High)
Die Schwachstelle basiert auf einer unzureichenden URL-Parsing-Logik. Durch Einfügung eines Semikolons in der Request-URL (z.B. /rest/o/{orgId};/) können Zugriffskontrollregeln umgangen werden. Der Web-Server interpretiert den Request unterschiedlich als die Anwendungslogik, was zu einer Path-Traversal-ähnlichen Authentifizierungsproblematik führt.
Betroffene Endpunkte sind organisationsspezifische REST-Ressourcen, die normalerweise strenge ZugriffsprĂĽfungen durchfĂĽhren. Die Manipulation der URL-Struktur mit Semikolons erlaubt es Angreifern, diese PrĂĽfungen zu umgehen.
Empfohlene Massnahmen
- Sofortige Aktion: Update auf Version 2.14.3 oder später durchführen
- Netzwerk-Segmentierung: InControl 2-Zugriff auf vertrauenswürdige Admin-Netzwerke beschränken
- Monitoring: REST-API-Anfragen mit Semikolons in der URL-Struktur ĂĽberwachen
- WAF-Regeln: Implementierung von Web-Application-Firewall-Regeln zur Blockierung verdächtiger URL-Parameter
- Audit-Logs: Überprüfung der API-Zugriffslogs auf verdächtige Aktivitäten
Bewertung
Diese Schwachstelle stellt ein erhebliches Risiko dar, da sie einen direkten Authentifizierungs-Bypass ermöglicht. Aufgrund der fehlenden Patch-Verfügbarkeit zum Zeitpunkt dieser Veröffentlichung sollten prioritär Mitigationsmaßnahmen implementiert werden. Organisationen sollten kontinuierlich auf verfügbare Patches überprüfen und diese zeitnah deployen.
„`