🔴 CVE-2026-35906: Critical Schwachstelle

„`html

Zusammenfassung

CVE-2026-35906 ist eine kritische Sicherheitslücke in T3 Technology CPE-Modellen, die eine unauthentifizierte Remote Code Execution (RCE) mit Root-Privilegien ermöglicht. Ein undokumentierter Debug-CGI-Endpoint ermöglicht es Angreifern, beliebige Systembefehle durch manipulierte HTTP-Query-Parameter auszuführen. Mit einem CVSS-Score von 9.6 gehört diese Schwachstelle zur höchsten Kritikalitätsstufe.

Betroffene Systeme

• T3 Technology T625Pro v1.0.07
• T3 Technology T6825G v1.0.03

Weitere CPE-Modelle könnten potentiell betroffen sein. Betreiber sollten ihre Gerätebestände systematisch überprüfen.

Technische Details

Die Schwachstelle befindet sich in einem Debug-CGI-Endpoint, der in den Produktionsversionen nicht dokumentiert und nicht deaktiviert wurde. Der Endpoint akzeptiert HTTP-Query-Parameter ohne Authentifizierungsprüfung und leitet diese direkt an Shell-Kommandos weiter.

Angreifer können durch Injection von Bash-Befehlen (z.B. Befehlsverkettung mittels Semikolon oder Pipe-Operatoren) beliebigen Code mit Root-Privilegien ausführen. Dies ermöglicht Datenzugriff, Systemkompromittierung, Netzwerk-Lateral-Movement und Persistenzmechanismen.

Empfohlene Massnahmen

1. Sofortige Massnahmen: Betroffene Geräte aus dem produktiven Netzwerk isolieren
2. Netzwerk-Segmentierung: CPE-Management-Interfaces auf vertrauenswürdige IP-Ranges beschränken
3. Monitoring: Anomale HTTP-Anfragen an CGI-Endpoints protokollieren und analysieren
4. Firmware-Update: Auf verfügbare Sicherheits-Updates warten und zeitnah einspielen
5. Temporärer Workaround: Debug-Endpoints auf Firewall-Ebene blockieren

Bewertung

Kritikalität: CRITICAL – RCE mit Root-Rechten ohne Authentifizierung

Angriffsvektor: Netzwerk (Unauthentifiziert, niedriger Komplexität)

Status: Kein Patch verfügbar – Hersteller-Koordination erforderlich

Diese Lücke erfordert unmittelbare Aufmerksamkeit von IT-Sicherheitsteams und Netzwerk-Administratoren.

„`