„`html

CVE-2026-71946: Command Injection in D-Link DWR-M961

Zusammenfassung

D-Link DWR-M961 Router mit Hardware-Version C1 und Firmware-Versionen vor 1.1.5_C1_202607071108 sind anfällig für eine kritische Command-Injection-Schwachstelle. Die Vulnerabilität befindet sich in der /boafrm/formPingDiagnosticRun-Schnittstelle und ermöglicht es unauthentizierten, remote Angreifern, beliebige Befehle mit Root-Privilegien auszuführen. Der CVSS-Score von 9.8 unterstreicht die kritische Natur dieser Schwachstelle.

Betroffene Systeme

• D-Link DWR-M961 (Hardware-Version C1)
• Firmware-Versionen: vor 1.1.5_C1_202607071108
• Weitere D-Link Geräte mit ähnlicher Architektur möglich

Technische Details

Die Vulnerability existiert in der Ping-Diagnose-Funktion des Geräts. Die host-Parameter-Eingabe wird nicht angemessen validiert oder desinfiziert, bevor sie in Systemaufrufe weitergeleitet wird. Angreifer können Shell-Metacharakter (z.B. ;, |, &&, $(...)) nutzen, um zusätzliche Befehle einzuschleusen.

Angriffsvektor: Netzwerk-basiert, keine Authentifizierung erforderlich

Ausnutzbarkeit: Trivial – Remote Exploitation ohne Credentials

Empfohlene Massnahmen

• Sofortige Massnahmen: Betroffene Geräte vom Netz trennen oder mit Firewall-Regeln isolieren
• Firmware-Update: Auf Version 1.1.5_C1_202607071108 oder höher aktualisieren (sobald verfügbar)
• Netzwerk-Segmentierung: Router in separates Verwaltungsnetzwerk isolieren
• Zugriffsschutz: Admin-Interface auf vertrauenswürdige IP-Adressen beschränken
• Monitoring: Logs auf verdächtige Aktivitäten prüfen

Bewertung

CVSS v3.1 Score: 9.8 (Critical)

Patch-Status: Kein Patch verfügbar

Risikoklassifizierung: Unmittelbare Bedrohung – Handeln erforderlich

„`