🟠 CVE-2026-59260: High Schwachstelle

Zusammenfassung

Die Sicherheitslücke CVE-2026-59260 betrifft die OpenWrt-Komponente luci-app-samba4 und ermöglicht authentifizierten Benutzern die Ausführung von Befehlen mit Root-Privilegien. Durch eine unzureichend konfigurierte Zugriffskontrollliste (ACL) können delegierte Benutzer die Samba-Daemon-Binärdatei (/usr/sbin/smbd) mit beliebigen Kommandozeilen-Argumenten aufrufen.

Betroffene Systeme

Die Vulnerabilität betrifft OpenWrt-Installationen mit aktivierter luci-app-samba4-Komponente. Eine vollständige Liste betroffener Versionen wird vom OpenWrt-Projekt bereitgestellt. Das Patch-Status ist derzeit als „No“ dokumentiert, was auf fehlende offizielle Fixes hinweist.

Technische Details

Die Schwachstelle basiert auf einer fehlerhaften Konfiguration der Dateisystem-ACL für /usr/sbin/smbd. Die read-ACL gewährt die file.exec-Permission, wodurch Prozesse mit niedrigeren Privilegien den Samba-Daemon aufrufen können.

Angreifer können dabei Samba-Globaloptionen wie „message command“ injizieren. Diese werden bei der Verarbeitung von SMB-Protokollmeldungen vom Root-smbd-Prozess ausgeführt, was zu arbiträrer Codeausführung führt. Der Angriffsvektor ist netzwerkbasiert und erfordert vorherige Authentifizierung.

Der CVSS-Score von 8.8 klassifiziert dies als High-Severity-Vulnerability mit hohem Ausnutzungspotenzial.

Empfohlene Massnahmen

• Rückgängigmachen der execute-Permission auf /usr/sbin/smbd für delegierte Benutzer
• Restriction der Samba-Konfigurationsoptionen auf sichere Parameter
• Überwachung von SMB-Prozessaufrufen auf verdächtige Kommandozeilenargumente
• Implementierung von SELinux oder AppArmor-Policies zur Prozeßisolation
• Regelmäßige Überprüfung der ACL-Konfiguration
• Monitoring der System-Audit-Logs auf Exploit-Versuche

Bewertung

Diese Vulnerability stellt eine signifikante Bedrohung dar, da sie lokale Eskalation zu Root-Privilegien ermöglicht. Systemadministratoren sollten sofort ihre Samba4-Konfigurationen überprüfen und entsprechende Sicherheitsmaßnahmen implementieren, bis ein offizieller Patch verfügbar ist.