🔴 CVE-2026-18754: Critical Schwachstelle

„`html

Zusammenfassung

CVE-2026-18754 beschreibt eine kritische Sicherheitslücke in Produktfirmware, bei der ein statischer RSA-Privatschlüssel in den Binärdateien eingebettet ist. Dieser Schlüssel wird vom Lighttpd-Webserver zur TLS-Terminierung verwendet. Die Exposition des privaten Schlüssels ermöglicht Angreifern die vollständige Kompromittierung von HTTPS-Kommunikation.

Betroffene Systeme

Die Lücke betrifft verschiedene Produktfamilien, die Lighttpd als HTTPS-Terminator einsetzen. Konkret sind alle Firmware-Versionen mit eingebettetem RSA-Schlüsselmaterial betroffen. Die genaue Systemliste ist beim jeweiligen Hersteller zu erfragen.

Technische Details

Der eingebettete RSA-Privatschlüssel ist in der Produktfirmware statisch vorhanden und nicht austauschbar. Durch Reverse-Engineering oder Firmware-Extraktion können Angreifer diesen Schlüssel extrahieren. Damit können sie:

• HTTPS-Traffic passiv dekryptieren
• Server-Identität spoofing durchführen
• Man-in-the-Middle-Attacken ausführen
• Zertifikat-Validierung umgehen

Der Angriffsvektor ist netzwerkbasiert und erfordert nur Zugriff auf verschlüsselten Traffic oder die Firmware selbst.

Empfohlene Massnahmen

Sofortmassnahmen:

• Netzwerkverkehr überwachen und anomale HTTPS-Kommunikation detektieren
• Firmware-Integrität regelmässig prüfen
• TLS-Zertifikate auf Validierung überprüfen

Mittelfristig:

• Kontakt mit Hersteller bezüglich Firmware-Updates aufnehmen
• Alternative Lösungen mit individuellen Zertifikaten evaluieren
• Hardware-basierte Key Management Systeme (HSM) implementieren

Bewertung

Mit einem CVSS-Score von 9.1 handelt es sich um eine kritische Sicherheitslücke. Die fehlende Patchverfügbarkeit verschärft die Situation erheblich. Organisationen sollten sofortige Risikominderungsmassnahmen implementieren und proaktiv mit Herstellern kommunizieren.

„`