🔴 CVE-2026-45556: Critical Schwachstelle

„`html

Zusammenfassung

CVE-2026-45556 ist eine kritische Sicherheitslücke in Roxy-WI (Version 8.2.6.4 und älter), einer Web-Oberfläche zur Verwaltung von Haproxy, Nginx, Apache und Keepalived-Servern. Die Vulnerabilität ermöglicht unauthentifizierten Remote Code Execution (RCE) auf Load-Balancer-Systemen durch manipulierte WAF-Regelkonfigurationen. Mit einem CVSS-Score von 9.9 stellt diese Lücke eine kritische Bedrohung dar.

Betroffene Systeme

Betroffen sind Roxy-WI-Installationen in Version 8.2.6.4 und früher. Das Tool wird typischerweise in Enterprise-Umgebungen zur zentralisierten Verwaltung von Load-Balancing- und Web-Server-Infrastrukturen eingesetzt. Jeder verwaltete Load-Balancer (HAProxy, Nginx, Apache, Keepalived) wird zum potenziellen Angriffsziel.

Technische Details

Der Angriffsvektor liegt im POST-Endpoint /waf/<service>/<server_ip>/rule/<rule_id>/save. Der Parameter config_file_name wird ohne ausreichende Validierung direkt an config_mod.master_slave_upload_and_restart() weitergeleitet.

Die Validierungskette prüft nur, ob:

• Die Pfad-Zeichenkette einen Service-Substring (nginx/haproxy/apache2/httpd/keepalived) enthält
• Die Substrings „conf“ oder „cfg“ vorhanden sind
• Keine „..“ Sequenzen existieren

Durch Ausnutzung der Encoded-Slash-Substitution (92 → /) können Angreifer beliebige absolute Pfade konstruieren. Ein Payload wie 92etc92cron.d92nginx_cfg_evil wird zu /etc/cron.d/nginx_cfg_evil aufgelöst. Der WAF-Regelinhalt (config-Feld) wird unverarbeitet in diese Datei geschrieben. Cron führt die manipulierte Datei mit Root-Privilegien aus, wodurch vollständiger Code-Execution auf allen verwalteten Load-Balancern erreicht wird.

Empfohlene Massnahmen

• Sofortige Deaktivierung von Roxy-WI bis Patch verfügbar ist
• Netzwerk-Segmentierung: WAF-Management-Interface von administrativen Netzen isolieren
• Web-Application-Firewall: Strikte Input-Validierung für config_file_name-Parameter implementieren
• Monitoring: Cron-Logs auf verdächtige Einträge durchsuchen
• Regelmässige Sicherheitsaudits durchführen

Bewertung

Diese Vulnerabilität erfordert sofortige Massnahmen. Der kritische CVSS-Score von 9.9, fehlende Patches und die Möglichkeit zum Root-RCE machen dies zu einer High-Priority-Bedrohung für alle betroffenen Installationen. Überwachung auf offizielle Sicherheitsupdates ist essentiell.

„`