🟠 CVE-2026-11452: High Schwachstelle

„`html

Zusammenfassung

Eine kritische Sicherheitslücke wurde in GL.iNet GL-MT3000 Firmware-Versionen bis 4.4.5 identifiziert. Die Schwachstelle ermöglicht Remote Command Injection über den Password-Parameter des SET_USER_PWD Handlers. Mit einem CVSS-Score von 7.3 wird die Vulnerability als „High“ eingestuft und erfordert sofortige Aufmerksamkeit.

Betroffene Systeme

• GL.iNet GL-MT3000 (Firmware-Versionen ≤ 4.4.5)
• Router mit betroffener Firmware-Version
• Systeme ohne Update auf Version 4.8.1 oder höher

Technische Details

Vulnerability-Typ: Command Injection / Remote Code Execution (RCE)

Betroffene Komponente: CGI-Handler unter /cgi-bin/glc (Funktion FUN_0042e200)

Angriffsvektor: Network (Remote)

Die Schwachstelle liegt in der unzureichenden Validierung des Password-Parameters im SET_USER_PWD Handler. Obwohl das System versucht, einfache Anführungszeichen zu escapen, können Angreifer durch manipulierte Eingaben Shell-Kommandos injizieren und ausführen. Der Angriffsvektor ermöglicht eine unbefugte Fernausführung von Befehlen mit Geräte-Privilegien.

Hinweis des Herstellers: In Firmware 4.8.1 wurden Sicherheitsmaßnahmen implementiert, die Command-Substitution-Techniken (wie $() oder Backticks) blockieren und die sichere Verarbeitung des Passwort-Parameters gewährleisten.

Empfohlene Massnahmen

1. Sofortiges Firmware-Update: Alle GL-MT3000 Geräte auf Firmware-Version 4.8.1 oder höher aktualisieren
2. Netzwerkzugriff beschränken: Administrativen Zugriff auf das Verwaltungsinterface auf vertrauenswürdige IP-Adressen limitieren
3. Firewall-Regeln: CGI-Zugriff über /cgi-bin/glc nur von autorisierten Netzwerken ermöglichen
4. Monitoring: Logs auf verdächtige Password-Change-Aktivitäten überprüfen

Bewertung

CVSS v3.1 Score: 7.3 (High)

Die Schwachstelle stellt ein erhebliches Sicherheitsrisiko dar, da Remote Code Execution ohne Authentifizierung möglich ist. Ein zeitnaher Patch ist erforderlich.

„`