🟠 CVE-2026-11450: High Schwachstelle

„`html

Zusammenfassung

Die Schwachstelle CVE-2026-11450 betrifft GL.iNet GL-MT3000 in Version 4.4.5 und ermöglicht Remote Command Injection über manipulierte Parameter. Die Vulnerabilität liegt in der Path Normalization Handler-Komponente und weist einen CVSS-Score von 7.3 auf.

Betroffene Systeme

• GL.iNet GL-MT3000 Version 4.4.5
• Möglicherweise weitere Versionen vor 4.7
• Netzwerkgeräte mit oui-httpd RPC-Schnittstelle

Technische Details

Die Schwachstelle befindet sich in der Funktion dlopen innerhalb der Bibliothek /usr/lib/oui-httpd/rpc/. Die RPC-Methode nas-web.eject_disk validiert den Parameter dev_name unzureichend, was zur Command Injection führt.

Der Exploit-Mechanismus funktioniert wie folgt:

• Angreifer senden manipulierte HTTP-RPC-Requests an die Default-Endpoint /rpc
• Der Parameter dev_name wird nicht ordnungsgemäß bereinigt
• Shell-Metacharakterzeichen ermöglichen die Injection willkürlicher Systembefehle
• Ausführung mit erhöhten Rechten möglich

Die Schwachstelle erfordert keine Authentifizierung und ist über das Netzwerk direkt ausnutzbar.

Empfohlene Massnahmen

• Priorität: Kritisch – Sofortiges Update auf Version 4.7 oder höher durchführen
• Netzwerkzugang zur RPC-Schnittstelle auf Vertrauenswürdige IPs begrenzen
• Web-Admin-Interface hinter VPN/Firewall schützen
• Regelmäßige Firmware-Updates implementieren
• Geräte-Logs auf verdächtige RPC-Aufrufe überwachen
• Änderung der Standard-Administrations-Credentials durchführen

Bewertung

CVSS-Score: 7.3 (High)

Angriffsvektor: Netzwerk

Patch-Status: Verfügbar (Version 4.7+)

Die Vulnerabilität ermöglicht unauthentifizierte Remote Code Execution mit erheblichen Auswirkungen auf Systemintegrität und Vertraulichkeit. Das Update in Version 4.7 implementiert Method-Level Validation und entfernt die eject_disk-Funktion aus der RPC-Whitelist, wodurch die Exploit-Chain unterbrochen wird.

„`