🟠 CVE-2026-46368: High Schwachstelle

„`html

Zusammenfassung

CVE-2026-46368 beschreibt eine kritische Command-Injection-Schwachstelle in luci-app-https-dns-proxy bis Version 2025.12.29-5. Die Vulnerability ermöglicht authentifizierten Benutzern mit entsprechenden ACL-Berechtigungen die Ausführung beliebiger Shell-Befehle mit Root-Privilegien auf betroffenen OpenWrt-Geräten. Das Kernprojekt OpenWrt bleibt unaffiziert; nur Installationen mit dem optionalen luci-app-https-dns-proxy-Paket sind gefährdet.

Betroffene Systeme

Paket: luci-app-https-dns-proxy
Version: bis 2025.12.29-5
Distribution: OpenWrt Community Packages Feed
Installationsstatus: Optional (nicht standardmäßig installiert)
Betroffene Komponente: LuCI Web UI Add-on

Technische Details

Die Schwachstelle befindet sich in der setInitAction-Funktion des luci-https-dns-proxy-Moduls. Durch unzureichende Input-Validierung können Shell-Metazeichen über den Parameter ’name‘ einer ubus RPC-Anfrage injiziert werden. Ein authentifizierter Angreifer mit der Berechtigung luci.https-dns-proxy kann diese Schwachstelle ausnutzen, um beliebige Befehle auszuführen.

Angriffsvektor: Netzwerk-basiert
Authentifizierung erforderlich: Ja (gültige Benutzerkonten)
Privilege Level: Root-Ausführung möglich

Empfohlene Massnahmen

• Aktualisierung des luci-app-https-dns-proxy-Pakets auf eine Patch-Version durchführen (sobald verfügbar)
• Zugriff auf die LuCI Web UI auf vertrauenswürdige Netzwerke einschränken
• ACL-Berechtigungen für luci.https-dns-proxy überprüfen und minimieren
• Regelmäßige Überwachung der OpenWrt-Sicherheitsmitteilungen durchführen
• Bei nicht benötigtem Paket: Deinstallation erwägen

Bewertung

CVSS-Score: 8.8 (High)
Patch-Status: Nicht verfügbar
Diese Schwachstelle stellt ein erhebliches Sicherheitsrisiko dar und erfordert zeitnahe Remediation auf betroffenen Systemen.

„`