„`html
Zusammenfassung
Die Sicherheitslücke CVE-2026-12219 betrifft Yealink SIP-T46U IP-Telefone in Version 108.86.0.118. Eine Command Injection Schwachstelle in der Web FastCGI Service ermöglicht es Angreifern, beliebige Systemkommandos auszuführen. Der Schweregrad wird mit CVSS 6.3 (Medium) bewertet. Bisher steht kein Patch zur Verfügung.
Betroffene Systeme
Primär betroffen ist die Yealink SIP-T46U in der Firmware-Version 108.86.0.118. Weitere Yealink SIP-Telefone könnten potenziell vulnerable sein, sofern diese die betroffene Web FastCGI Service-Komponente mit identischer oder ähnlicher Funktionalität implementieren. Eine genaue Analyse weiterer Produktversionen ist erforderlich.
Technische Details
Die Schwachstelle liegt in der Funktion mod_diagnose.CommandShellByType des API-Endpunktes /api/diagnosis/start. Der Parameter Time wird nicht ausreichend validiert und gefiltert. Dies ermöglicht Command Injection, wobei ein Angreifer Systemkommandos durch Shell-Metacharakter in die Zeit-Eingabe einschleusen kann.
Ein Remote-Angreifer kann ohne Authentifizierung eine speziell präparierte HTTP-Anfrage an den vulnerablen Endpunkt senden und dadurch Kommandos mit den Privilegien des Web-Services ausführen. Der Zugriff erfolgt über das Netzwerk, eine lokale Präsenz ist nicht erforderlich.
Empfohlene Massnahmen
- Netzwerksegmentierung: Beschränken Sie Zugriff auf den Web-Administrations-Port (üblicherweise TCP 80/443) auf vertrauenswürdige Netzwerkbereiche
- Web Application Firewall: Implementieren Sie WAF-Regeln zur Detektion verdächtiger Anfragen an
/api/diagnosis/*Endpunkte - Monitoring: Überwachen Sie Logs auf auffällige API-Aufrufe mit Shell-Metacharaktären
- Update abwarten: Kontaktieren Sie Yealink regelmäßig auf Patch-Verfügbarkeit
- Firmware-Überprüfung: Inventarisieren Sie alle SIP-T46U-Geräte und Firmware-Versionen in Ihrer Infrastruktur
Bewertung
Trotz des CVSS-Wertes von 6.3 ist die praktische Gefährdung erheblich, da der Exploit bereits öffentlich bekannt und die Authentifizierung nicht erforderlich ist. Die fehlende Vendor-Response verschärft die Situation. Eine zeitnahe Implementierung von Mitigationsmaßnahmen ist dringend empfohlen.
„`