CVE-2026-28151: Unauthenticated Local File Inclusion in Tonda

Zusammenfassung

Die Schwachstelle CVE-2026-28151 betrifft eine unauthentifizierte Local File Inclusion (LFI) in Tonda-Versionen vor 2.6. Mit einem CVSS-Score von 8.1 (High) stellt diese Vulnerability eine erhebliche Sicherheitsbedrohung dar. Sie ermöglicht es unauthentifizierten Angreifern, über das Netzwerk auf sensitive Dateien des Systems zuzugreifen, ohne sich authentifizieren zu müssen.

Betroffene Systeme

• Tonda < 2.6 (alle betroffenen Versionen)
• Verschiedene Betriebssysteme und Plattformen
• Systeme mit aktivierter Netzwerkanbindung

Der Angriffsvektor ist Netzwerk-basiert, was bedeutet, dass die Schwachstelle remote ohne physischen Zugriff ausgenutzt werden kann.

Technische Details

Die Vulnerability ermöglicht Path Traversal-Attacken durch unzureichende Eingabevalidierung. Angreifer können manipulierte Anfragen senden, um auf Dateien außerhalb des vorgesehenen Verzeichnisses zuzugreifen. Dies umfasst potentiell:

• Konfigurationsdateien mit Credentials
• Systemdateien (/etc/passwd unter Unix/Linux)
• Anwendungsspezifische Daten
• Private Keys und Secrets

Die fehlende Authentifizierung macht diese Vulnerability besonders kritisch, da sie ohne Anmeldedaten ausgenutzt werden kann.

Empfohlene Massnahmen

• Sofortiges Update: Upgrade auf Tonda 2.6 oder höher durchführen
• Netzwerk-Segmentierung: Betroffene Systeme isolieren
• WAF-Regeln: Web Application Firewall zur Filterung verdächtiger Anfragen einsetzen
• Monitoring: Logs auf LFI-Indikatoren überwachen
• Zugriffsschutz: IP-Whitelisting implementieren, falls möglich

Bewertung

CVSS 8.1 (High): Diese Einstufung reflektiert die hohe Kritikalität. Die Kombination aus unauthentifiziertem Zugriff, Netzwerk-Angriffsvektor und fehlender Patch stellt eine unmittelbare Bedrohung dar. Betroffene Umgebungen sollten prioritär behandelt werden.

Status: Kein Patch verfügbar – Update auf neuere Version erforderlich.