🟠 CVE-2026-67609: High Schwachstelle

„`html

Zusammenfassung

CVE-2026-67609 beschreibt eine kritische Privilege-Escalation-Anfälligkeit in Telenia Software TVox. Die Schwachstelle ermöglicht es Angreifern mit Zugriff auf den Apache-Benutzer, willkürliche Befehle mit Root-Rechten auszuführen. Auslöser ist eine fehlerhafte Sudoers-Konfiguration, die das passwortlose Ausführen von /bin/nice gestattet.

Betroffene Systeme

• Telenia Software TVox 26.x (bis einschließlich 26.5.3)
• Telenia Software TVox 24.x (bis einschließlich 24.9.21)

Der Angriffsvektor ist lokal. Ein Angreifer benötigt bereits Zugriff auf das Apache-Benutzerkonto.

Technische Details

Die Anfälligkeit resultiert aus einer unsicheren Sudoers-Konfiguration in der Datei /etc/sudoers.d/telenia. Diese Datei gewährt dem Apache-Benutzer das Recht, /bin/nice ohne Passwortabfrage (NOPASSWD) auszuführen.

Das Programm nice wird typischerweise zur Prozessplanung verwendet, kann aber für Command-Injection-Angriffe missbraucht werden. Durch geschickte Nutzung dieser Konfiguration können Angreifer Befehle mit Root-Privilegien ausführen und somit die vollständige Kontrolle über das System erlangen.

Ein typischer Exploitationsvektor könnte die Verkettung von Befehlen über nice sein, um beliebigen Code mit erweiterten Rechten auszuführen.

Empfohlene Massnahmen

• Umgehend auf eine gepatchte Version aktualisieren (sobald verfügbar)
• Die Sudoers-Konfiguration in /etc/sudoers.d/telenia überprüfen und korrigieren
• NOPASSWD-Einträge für sensible Befehle entfernen oder einschränken
• Zugriff auf das Apache-Benutzerkonto beschränken
• Systemprotokolle auf verdächtige Aktivitäten überwachen

Bewertung

CVSS-Score: 7.8 (High)

Die Bewertung ist gerechtfertigt, da die Schwachstelle vollständigen Root-Zugriff ermöglicht. Jedoch ist ein lokaler Zugriff erforderlich, was die Kritikalität leicht mindert. Für TVox-Umgebungen mit Mehrbenutzer-Zugriff stellt dies ein erhebliches Sicherheitsrisiko dar.

„`