Kritische Sicherheitslücke in kestra-io (CVE-2026-49869)
In kestra-io wurde eine Sicherheitslücke (CVE-2026-49869) entdeckt. Details und Übersetzung folgen.
Zusammenfassung
In kestra-io wurde eine Sicherheitslücke (CVE-2026-49869) mit CVSS-Score 10 entdeckt.
Technische Details
Die detaillierte Analyse konnte nicht automatisch erstellt werden. Siehe Original-Beschreibung unten.
Original-Beschreibung (englisch):
Kestra is an open-source, event-driven orchestration platform. Prior to 1.0.45 and 1.3.21, AuthenticationFilter in Kestra OSS uses request.getPath().endsWith("/configs") to whitelist the public configuration endpoint from Basic Auth. Because the check is a suffix match rather than an exact path match, any API path whose last segment is configs bypasses authentication entirely. An unauthenticated remote attacker can exploit this to create and execute arbitrary workflows without credentials. Because Kestra ships with script execution plugins (plugin-script-shell, plugin-script-python, etc.) enabled by default, this directly results in unauthenticated Remote Code Execution as root inside the Kestra worker container. This vulnerability is fixed in 1.0.45 and 1.3.21.
Empfehlungen
Überprüfen Sie, ob Sie betroffene Systeme verwenden
CVE-2026-82329 – Schwachstelle in der Authentifizierung von JFrog Artifactory
JFrog Artifactory enthält eine Schwachstelle in der Authentifizierung, die unter Standardkonfiguration einem nicht authentifizierten Angreifer mit Netzwerkzugriff ermöglicht, administrative Privilegien zu erlangen. Die Schwachstelle wurde mit einem CVSS-Score von 9,8 (Critical) bewertet. Für die betroffenen Versionen sind gepatchte Versionen verfügbar.
CVE-2026-82329 – Schwachstelle in der Authentifizierung von JFrog Artifactory
JFrog Artifactory enthält eine Schwachstelle in der Authentifizierung, die unter Standardkonfiguration einem nicht authentifizierten Angreifer mit Netzwerkzugriff ermöglicht, administrative Privilegien zu erlangen. Die Schwachstelle wurde mit einem CVSS-Score von 9,8 (Critical) bewertet. Für die betroffenen Versionen sind gepatchte Versionen verfügbar.
Zusammenfassung
CVE-2026-82329 beschreibt eine Schwachstelle in der Authentifizierung von JFrog Artifactory. Unter Standardkonfiguration kann ein nicht authentifizierter Angreifer mit Netzwerkzugriff administrative Privilegien erlangen, wodurch die vollständige Kontrolle über die betroffene Artifactory-Instanz übernommen werden kann.
Die Schwachstelle wurde mit einem CVSS-Score von 9,8 (Critical) bewertet. Für alle betroffenen Produktversionen sind gepatchte Versionen verfügbar. Ein sofortiges Update wird dringend empfohlen.
Technische Details
Die Schwachstelle liegt in einer Authentifizierungsschwäche der JFrog Artifactory. Unter der Standardkonfiguration kann ein nicht authentifizierter Angreifer mit Netzwerkzugriff die Authentifizierungsmechanismen umgehen und administrative Privilegien auf der betroffenen Instanz erlangen.
Ein erfolgreicher Angriff ermöglicht die vollständige Übernahme der administrativen Kontrolle, einschließlich des Zugriffs auf verwaltete Artefakte, Repositorys und Konfigurationen. Aufgrund des CVSS-Scores von 9,8 (Critical) und der möglichen vollständigen Kompromittierung ist das Risiko als kritisch einzustufen.
Die vollständigen technischen Details wurden von JFrog in einem offiziellen Security Advisory dokumentiert. Der Hersteller empfiehlt die unverzügliche Anwendung der bereitgestellten Fixes.
Betroffene Systeme
Produkt
Betroffene Version
Gefixte Version
JFrog Artifactory
0 < 7.111.21
7.111.21
JFrog Artifactory
7.161.0 < 7.161.20
7.161.20
JFrog Artifactory
7.146.0 < 7.146.38
7.146.38
JFrog Artifactory
7.125.0 < 7.125.20
7.125.20
JFrog Artifactory
7.117.0 < 7.117.28
7.117.28
JFrog Artifactory
7.133.0 < 7.133.29
7.133.29
Empfehlungen und Maßnahmen
Sofortiges Update: Aktualisieren Sie betroffene JFrog Artifactory-Instanzen umgehend auf die jeweils gefixte Version (siehe Tabelle oben).
Exposition reduzieren: Beschränken Sie den Netzwerkzugriff auf Artifactory und stellen Sie sicher, dass die Instanz nicht aus unsicheren Netzwerken erreichbar ist.
Zugriffskontrolle prüfen: Überprüfen Sie die Authentifizierungs- und Autorisierungskonfigurationen sowie bestehende Benutzerkonten auf Anzeichen einer Kompromittierung.
Überwachung: Beobachten Sie die Logs auf ungewöhnliche administrative Aktivitäten oder Anmeldeversuche.
Workarounds: Prüfen Sie das offizielle Security Advisory von JFrog auf mögliche Workarounds, falls ein sofortiges Update nicht möglich ist.
In der Appliance Management Console (AMC) von SonicWall SMA1000 wurde eine Sicherheitslücke identifiziert, die eine OS-Command-Injection nach der Authentifizierung ermöglicht. Ein authentifizierter Angreifer mit Administratorrechten kann unter bestimmten Bedingungen beliebige Betriebssystembefehle ausführen und damit eine vollständige Remote-Code-Ausführung erzielen. Betroffen sind ältere Versionen bis einschließlich 12.4.3-03453 bzw. 12.5.0-02835.
Affected:SonicWall SMA1000 12.5.0-02835 (platform-hotfix) und ältere Versionen, SonicWall SMA1000 12.4.3-03453 (platform-hotfix) und ältere Versionen
In der Appliance Management Console (AMC) von SonicWall SMA1000 wurde eine Sicherheitslücke identifiziert, die eine OS-Command-Injection nach der Authentifizierung ermöglicht. Ein authentifizierter Angreifer mit Administratorrechten kann unter bestimmten Bedingungen beliebige Betriebssystembefehle ausführen und damit eine vollständige Remote-Code-Ausführung erzielen. Betroffen sind ältere Versionen bis einschließlich 12.4.3-03453 bzw. 12.5.0-02835.
Zusammenfassung
In der Appliance Management Console (AMC) von SonicWall SMA1000 wurde eine Sicherheitslücke identifiziert, die als CVE-2026-83549 erfasst ist. Die Schwachstelle liegt in einer unzureichenden Neutralisierung spezieller Elemente, die in einem Betriebssystembefehl verwendet werden (OS Command Injection). Ein authentifizierter Angreifer mit Administratorrechten kann unter bestimmten Bedingungen beliebige Betriebssystembefehle auf dem Gerät ausführen, was zu einer vollständigen Remote-Code-Ausführung führen kann.
Technische Details
Die Schwachstelle ist eine Post-Authentication-Schwachstelle vom Typ "Improper Neutralization of Special Elements used in an OS Command" (CWE-78: OS Command Injection). Sie tritt in der Appliance Management Console (AMC) der SonicWall SMA1000 auf. Der CVSS-Score beträgt 7,8 (High). Für die Ausnutzung sind gültige Anmeldedaten eines Administrators erforderlich; unter spezifischen Bedingungen kann ein entfernter, authentifizierter Angreifer die Verwaltungskonsole nutzen, um beliebige Betriebssystembefehle auszuführen und so eine Remote-Code-Ausführung zu erreichen.
Betroffene Systeme
Folgende SonicWall-SMA1000-Versionen sind betroffen:
SonicWall SMA1000 12.5.0-02835 (platform-hotfix) und ältere Versionen
SonicWall SMA1000 12.4.3-03453 (platform-hotfix) und ältere Versionen
Empfehlungen und Maßnahmen
Updates einspielen: Installieren Sie unverzüglich die verfügbaren Sicherheitsupdates bzw. Hotfixes von SonicWall, sofern für Ihre Version ein Patch verfügbar ist.
Zugriff einschränken: Beschränken Sie den Zugriff auf die Appliance Management Console (AMC) auf vertrauenswürdige Administratoren und Netzwerke.
Zugangsdaten schützen: Verwenden Sie starke Passwörter und Multi-Faktor-Authentifizierung (MFA) für alle Administrator-Konten.
Überwachung: Überwachen Sie die Geräte auf verdächtige Aktivitäten und ungewöhnliche Befehlsausführungen.
Referenzen prüfen: Beachten Sie die offizielle Sicherheitsmeldung des Herstellers und die darin enthaltenen Patches und Empfehlungen.
Betroffene Systeme:SonicWall SMA1000 12.5.0-02835 (platform-hotfix) und ältere Versionen, SonicWall SMA1000 12.4.3-03453 (platform-hotfix) und ältere Versionen
Exploit bekanntPatch verfügbar
CVE-2026-83548
CVSS: 10
Critical
SonicWall SMA1000: Pre-Authentication SSRF in der Work Place-Schnittstelle (CVE-2026-83548)
In der Work Place-Schnittstelle der SonicWall SMA1000-Appliance besteht eine Pre-Authentication-SSRF-Schwachstelle (CVE-2026-83548), die über einen unbeabsichtigten alternativen Zugriffspfad ausgenutzt werden kann. Ein entfernter, nicht authentifizierter Angreifer könnte dadurch unbefugten Zugriff auf sensible Funktionen erlangen und unbefugte Operationen durchführen. Der CVSS-Score beträgt 10.0 (Critical); ein Hotfix ist verfügbar.
Affected:SonicWall SMA1000 12.4.3-03453 (platform-hotfix) and older versions, SonicWall SMA1000 12.5.0-02835 (platform-hotfix) and older versions
Exploit bekanntPatch verfügbar
CVE-2026-83548
CVSS: 10Critical
SonicWall SMA1000: Pre-Authentication SSRF in der Work Place-Schnittstelle (CVE-2026-83548)
In der Work Place-Schnittstelle der SonicWall SMA1000-Appliance besteht eine Pre-Authentication-SSRF-Schwachstelle (CVE-2026-83548), die über einen unbeabsichtigten alternativen Zugriffspfad ausgenutzt werden kann. Ein entfernter, nicht authentifizierter Angreifer könnte dadurch unbefugten Zugriff auf sensible Funktionen erlangen und unbefugte Operationen durchführen. Der CVSS-Score beträgt 10.0 (Critical); ein Hotfix ist verfügbar.
Zusammenfassung
CVE-2026-83548 beschreibt eine Pre-Authentication-SSRF-Schwachstelle (Server-Side Request Forgery) in der Work Place-Schnittstelle der SonicWall SMA1000-Appliance. Aufgrund eines unbeabsichtigten alternativen Zugriffspfads (Unintended Proxy, CWE-441) kann ein entfernter, nicht authentifizierter Angreifer serverseitige Anfragen umleiten und so unbefugten Zugriff auf sensible Funktionen erlangen sowie unbefugte Operationen durchführen. Der CVSS-Score von 10.0 (Critical) und Hinweise auf aktive Ausnutzung machen eine zeitnahe Behebung zwingend erforderlich.
CWE-441: Unintended Proxy or Intermediary ("Confused Deputy")
Angriffsvektor: Netzwerk (AV:N)
Angriffskomplexität: Niedrig (AC:L)
Erforderliche Privilegien: Keine (PR:N)
Benutzerinteraktion: Keine (UI:N)
Auswirkungen: Hohe Vertraulichkeits-, Integritäts- und Verfügbarkeitsauswirkungen, mit Scope Change (C:H/I:H/A:H/S:C)
Die Schwachstelle liegt in der Work Place-Schnittstelle (Interface) der SMA1000-Appliance vor und ist ohne vorherige Authentifizierung ausnutzbar. SonicWall PSIRT hat einen Fall aktiver Ausnutzung der in diesem Advisory beschriebenen Schwachstellen untersucht.
Betroffene Systeme
SonicWall SMA1000 12.4.3-03453 (platform-hotfix) und ältere Versionen
SonicWall SMA1000 12.5.0-02835 (platform-hotfix) und ältere Versionen
Empfehlungen und Maßnahmen
Hotfix einspielen: Upgrade auf die aktuelle Hotfix-Version der jeweiligen Produktlinie, um die Schwachstelle zu beheben (siehe Quellen).
Unverzüglich handeln: Aufgrund des CVSS-Scores von 10.0 und der Hinweise auf aktive Ausnutzung sollte die Aktualisierung zeitnah durchgeführt werden.
Netzwerkzugriff beschränken: Beschränken Sie den Zugriff auf die Work Place-Schnittstelle auf vertrauenswürdige Netzwerke.
Überwachung: Überwachen Sie Logs auf verdächtige serverseitige Anfragen oder unbefugte Zugriffsversuche.
Offiziellen Kanal nutzen: Weitere Informationen und Details entnehmen Sie dem PSIRT-Advisory von SonicWall.
Betroffene Systeme:SonicWall SMA1000 12.4.3-03453 (platform-hotfix) and older versions, SonicWall SMA1000 12.5.0-02835 (platform-hotfix) and older versions
Exploit bekanntPatch verfügbar
CVE-2026-59822
CVSS: 8.8
High
LiteLLM MCP-Endpunkt: Umgehung der API-Key-Authentifizierung (CVE-2026-59822)
LiteLLM, ein Proxy-Server (AI Gateway) für LLM-APIs, weist vor Version 1.84.0 eine kritische Sicherheitslücke auf. Ein nicht authentifizierter Angreifer kann den MCP Streamable-HTTP-Endpunkt über einen manipulierten Authorization-Header ausnutzen, um die LiteLLM-Key-Validierung zu umgehen und ohne gültigen Schlüssel auf MCP-Tooling zuzugreifen.
Affected:berriai LiteLLM < 1.84.0
Exploit bekanntPatch verfügbar
CVE-2026-59822
CVSS: 8.8High
LiteLLM MCP-Endpunkt: Umgehung der API-Key-Authentifizierung (CVE-2026-59822)
LiteLLM, ein Proxy-Server (AI Gateway) für LLM-APIs, weist vor Version 1.84.0 eine kritische Sicherheitslücke auf. Ein nicht authentifizierter Angreifer kann den MCP Streamable-HTTP-Endpunkt über einen manipulierten Authorization-Header ausnutzen, um die LiteLLM-Key-Validierung zu umgehen und ohne gültigen Schlüssel auf MCP-Tooling zuzugreifen.
Zusammenfassung
In LiteLLM vor Version 1.84.0 ermöglicht eine Sicherheitslücke im MCP Streamable-HTTP-Endpunkt nicht authentifizierten Angreifern, die LiteLLM-Key-Validierung zu umgehen. Durch einen fabrizierten Authorization-Header wird ein OAuth2-Passthrough-Fallback-Pfad ausgelöst, der die fehlgeschlagene Schlüsselprüfung durch ein leeres UserAPIKeyAuth()-Objekt ersetzt. Dadurch können Anfragen ohne gültigen LiteLLM-Key bis zum MCP-Tooling durchdringen.
Technische Details
Der Schwachstelle liegt im Umgang mit fehlgeschlagener Schlüsselvalidierung am MCP Streamable-HTTP-Endpunkt zugrunde. Statt die Anfrage abzulehnen, löst ein manipulierte Authorization-Header den OAuth2-Passthrough-Fallback aus. Dieser Pfad ersetzt die fehlgeschlagene LiteLLM-Key-Prüfung durch ein leeres UserAPIKeyAuth()-Objekt, sodass die Anfrage als gültig behandelt wird und MCP-Tooling erreicht, ohne dass ein gültiger LiteLLM-API-Key vorhanden ist. Die Schwachstelle wurde in Version 1.84.0 behoben.
Betroffene Systeme
berriai LiteLLM < 1.84.0
Empfehlungen und Maßnahmen
Sofort ein Upgrade auf LiteLLM Version 1.84.0 oder neuer durchführen, da dort die Sicherheitslücke behoben ist.
Überwachen Sie MCP-Endpunkte auf ungewöhnliche oder nicht authentifizierte Zugriffe und prüfen Sie Logs auf fehlgeschlagene Schlüsselvalidierungen.
Stellen Sie sicher, dass der MCP Streamable-HTTP-Endpunkt nur aus vertrauenswürdigen Netzwerken erreichbar ist.
Überprüfen Sie, ob der OAuth2-Passthrough-Fallback deaktiviert oder restriktiv konfiguriert werden kann, um das Risiko zu minimieren.
Kritische SQL-Injection in Sangoma Switchvox SMB Edition 8.3 (CVE-2026-9586)
In Sangoma Switchvox SMB Edition 8.3 (104997) existiert eine unauthentifizierte SQL-Injection-Schwachstelle im /pa-Endpoint. Ein entfernter Angreifer kann über eine einzelne manipulierte Anfrage beliebige SQL-Befehle gegen die PostgreSQL-Datenbank ausführen, einschließlich Datenbankoperationen und Remote-Code-Ausführung. Ein Update auf Version 8.4.0.2 behebt das Problem.
Kritische SQL-Injection in Sangoma Switchvox SMB Edition 8.3 (CVE-2026-9586)
In Sangoma Switchvox SMB Edition 8.3 (104997) existiert eine unauthentifizierte SQL-Injection-Schwachstelle im /pa-Endpoint. Ein entfernter Angreifer kann über eine einzelne manipulierte Anfrage beliebige SQL-Befehle gegen die PostgreSQL-Datenbank ausführen, einschließlich Datenbankoperationen und Remote-Code-Ausführung. Ein Update auf Version 8.4.0.2 behebt das Problem.
Zusammenfassung
In Sangoma Switchvox SMB Edition 8.3 (104997) wurde eine kritische, unauthentifizierte SQL-Injection-Schwachstelle entdeckt (CVE-2026-9586). Der /pa-Endpoint verarbeitet XML-Inhalte, die mit <PolycomIPPhone> beginnen, und fügt den benutzerkontrollierten PhoneIP-Wert ohne Sanitisierung oder Parametrisierung direkt in PostgreSQL-Abfragen ein. Ein entfernter Angreifer kann dadurch mit einer einzigen manipulierten Anfrage beliebige SQL-Anweisungen gegen die Backend-Datenbank ausführen.
Der CVSS-Score beträgt 9.3 (Critical). Betroffen sind alle Versionen vor 8.4.0.2. Sangoma hat mit der Version 8.4.0.2 einen Patch veröffentlicht, der die Schwachstelle behebt.
Technische Details
Die Schwachstelle liegt im /pa-Endpoint von Sangoma Switchvox SMB Edition 8.3 (104997). Der Endpoint nimmt XML-Daten entgegen, die mit <PolycomIPPhone> beginnen. Der darin enthaltene, benutzerkontrollierte PhoneIP-Wert wird ohne Sanitisierung oder Verwendung parametrisierter Abfragen direkt in PostgreSQL-SQL-Statements verkettet.
Dies ermöglicht eine unauthentifizierte SQL-Injection: Ein Angreifer kann ohne vorherige Authentifizierung beliebige SQL-Befehle ausführen. Dazu gehören neben reinen Datenbankoperationen auch weiterführende Angriffe bis hin zur Remote-Code-Ausführung (RCE) auf dem Zielsystem. Es ist lediglich eine einzelne, gezielt präparierte Anfrage erforderlich, wodurch die Schwachstelle besonders leicht ausnutzbar ist.
Betroffene Systeme
Folgende Systeme sind betroffen:
Sangoma Switchvox SMB Edition 8.3 (104997) – alle Versionen vor 8.4.0.2
Empfehlungen und Maßnahmen
Update durchführen: Betroffene Installationen sollten umgehend auf Sangoma Switchvox Version 8.4.0.2 oder neuer aktualisiert werden, da diese Version die Schwachstelle behebt.
Priorisierung: Aufgrund des CVSS-Scores von 9.3 (Critical) und der Möglichkeit der Remote-Code-Ausführung sollte das Update mit höchster Priorität behandelt werden.
Netzwerkzugriff einschränken: Sofern ein Update nicht sofort möglich ist, sollte der Zugriff auf den betroffenen /pa-Endpoint auf vertrauenswürdige Netzwerke beschränkt und der Endpoint nicht ungeschützt im Internet erreichbar sein.
Monitoring: Überwachen Sie die Systeme auf verdächtige Anfragen an den /pa-Endpoint sowie auf ungewöhnliche Datenbankaktivitäten.
Sicherheitslücke in Starlette: Host-Header-Validierung umgangen (CVE-2026-48710)
In Starlette vor Version 1.0.1 wird der HTTP-Host-Header vor der Rekonstruktion von request.url nicht validiert. Dadurch kann der von request.url.path gelesene Pfad vom tatsächlich angeforderten Pfad abweichen, was Sicherheitsbeschränkungen in Middleware und Endpoints umgehbar macht. Betroffene Nutzer sollten auf Starlette 1.0.1 oder neuer aktualisieren.
Affected:encode starlette < 1.0.1
Exploit bekanntPatch verfügbar
CVE-2026-48710
CVSS: 6.5Medium
Sicherheitslücke in Starlette: Host-Header-Validierung umgangen (CVE-2026-48710)
In Starlette vor Version 1.0.1 wird der HTTP-Host-Header vor der Rekonstruktion von request.url nicht validiert. Dadurch kann der von request.url.path gelesene Pfad vom tatsächlich angeforderten Pfad abweichen, was Sicherheitsbeschränkungen in Middleware und Endpoints umgehbar macht. Betroffene Nutzer sollten auf Starlette 1.0.1 oder neuer aktualisieren.
Zusammenfassung
Starlette, ein leichtgewichtiges ASGI-Framework, ist anfällig für eine Sicherheitslücke, die durch eine fehlende Validierung des HTTP Host-Request-Headers entsteht. Vor Version 1.0.1 wurde der Host-Header ungeprüft verwendet, um request.url zu rekonstruieren. Da der Routing-Algorithmus auf dem rohen HTTP-Pfad basiert, während request.url aus dem Host-Header aufgebaut wird, kann ein manipulter Header dazu führen, dass request.url.path vom tatsächlich angeforderten Pfad abweicht.
Dies eröffnet Angreifern die Möglichkeit, Sicherheitsbeschränkungen in Middleware und Endpoints zu umgehen, die ihre Entscheidungen auf request.url und nicht auf den rohen Pfad aus scope stützen. Die Schwachstelle ist unter der Bezeichnung „BadHost“ bekannt und wurde von mehreren Sicherheitsforschenden unabhängig dokumentiert.
Technische Details
Die Schwachstelle liegt in der Rekonstruktion der URL aus dem Host-Header. Starlette leitet den Pfad für request.url aus dem Host-Header ab, während das Routing auf dem rohen HTTP-Pfad der Anfrage basiert. Ein bösartig formatierter Host-Header kann diese beiden Werte auseinanderlaufen lassen, sodass request.url.path nicht dem tatsächlich angeforderten Pfad entspricht.
Sicherheitsrelevante Middleware oder Endpoints, die auf request.url zurückgreifen (anstatt den Pfad direkt aus scope["path"] zu lesen), können dadurch umgangen werden. Ab Version 1.0.1 validiert Starlette den Host-Header anhand der Grammatik aus RFC 9112 §3.2 bzw. RFC 3986 §3.2.2 bei der Konstruktion von request.url und fällt bei ungültigen Werten auf scope["server"] zurück.
Betroffene Systeme
Betroffen sind alle Installationen von Starlette, die älter als Version 1.0.1 sind (encode/starlette < 1.0.1). Da Starlette als ASGI-Framework häufig die Grundlage für Webanwendungen und APIs bildet, sind sämtliche darauf aufbauenden Dienste potenziell betroffen, sofern sie request.url für sicherheitsrelevante Entscheidungen verwenden.
Empfehlungen und Maßnahmen
Upgrade durchführen: Starlette auf Version 1.0.1 oder neuer aktualisieren, da ab dieser Version der Host-Header validiert wird.
Code prüfen: Middleware und Endpoints daraufhin überprüfen, ob Sicherheitsbeschränkungen auf request.url basieren; wo möglich den rohen Pfad aus scope verwenden.
Abhängigkeiten nachziehen: Alle Projekte aktualisieren, die Starlette als transitive oder direkte Abhängigkeit nutzen.
Referenzen beobachten: Die offiziellen Advisory-Quellen (GHSA, PyPA Advisory Database) im Blick behalten, um weitere Details und potenzielle Workarounds zu erhalten.
CVE-2026-74233: Kritische Command Injection in Zbtlink-Routern (UDP/9992)
Unsichere, nicht authentifizierte Command Injection im infosrvd-Dienst (UDP/9992) zahlreicher Zbtlink-Router und verwandter Geräte. Ein entfernter Angreifer kann durch ein manipuliertes UDP-Paket beliebige Befehle mit Root-Rechten ausführen. Die schwache Dienst-Authentifizierung mit hartkodiertem Salt und MAC-Wildcard-Bypass bietet keinen Schutz.
CVE-2026-74233: Kritische Command Injection in Zbtlink-Routern (UDP/9992)
Unsichere, nicht authentifizierte Command Injection im infosrvd-Dienst (UDP/9992) zahlreicher Zbtlink-Router und verwandter Geräte. Ein entfernter Angreifer kann durch ein manipuliertes UDP-Paket beliebige Befehle mit Root-Rechten ausführen. Die schwache Dienst-Authentifizierung mit hartkodiertem Salt und MAC-Wildcard-Bypass bietet keinen Schutz.
Zusammenfassung
In der Firmware zahlreicher Zbtlink-Router sowie mehrerer verwandter Geräte existiert eine nicht authentifizierte Command Injection im Dienst infosrvd, der über UDP-Port 9992 erreichbar ist. Ein entfernter Angreifer kann ein präpariertes UDP-Paket senden und damit beliebige Befehle mit Root-Rechten auf dem Gerät ausführen. Die Vulnerability wurde als CVE-2026-74233 mit einem CVSS-Score von 9.3 (Critical) bewertet.
Technische Details
Der infosrvd-Dienst lauscht auf UDP/9992 und verarbeitet Pakete ohne ausreichende Validierung der Eingaben, wodurch eine Command Injection über unkontrollierte Shell-Metazeichen möglich ist. Da der Dienst unauthentifiziert von außen erreichbar ist, kann ein Angreifer ohne Vorwissen oder Zugangsdaten beliebige Befehle als Root ausführen.
Die vorgesehene Dienst-Authentifizierung ist wirkungslos: Sie verwendet einen hartkodierten Salt sowie einen Bypass über eine MAC-Adresse mit Wildcards (d.h. alle Nullen erlaubt). Beide Mechanismen erlauben es einem Angreifer, die Zugriffskontrolle vollständig zu umgehen.
Die Schwachstelle betrifft die Firmware-Versionen 19.1101, 19.1112, 20.0516, 19.051 und 20.0622 der betroffenen Gerätefamilien.
Verfügbare Firmware-Updates des Herstellers unverzüglich einspielen, sobald Patches für die betroffenen Geräte veröffentlicht werden.
Bis dahin den UDP-Port 9992 in der Firewall bzw. am Netzwerkzugang blockieren, um die Erreichbarkeit des infosrvd-Dienstes von außen zu unterbinden.
Geräte nur in vertrauenswürdigen Netzwerksegmenten betreiben und nicht direkt dem Internet aussetzen.
Den Netzwerkverkehr auf Auffälligkeiten hin überwachen und von der Schwachstelle betroffene Geräte regelmäßig auf Anzeichen einer Kompromittierung prüfen.
Die Referenzquellen für weitere technische Details und Hinweise auf offizielle Fixes beobachten.
CVE-2026-74232: Kritische C2-Backdoor in Zbtlink- und MoreQuick-Routern
In Routern von Zbtlink, MoreQuick sowie weiteren Marken ist eine Hintertür (SPEAKINGSTONE/yunmgrd) eingebaut, die unverschlüsselt mit einem fest verdrahteten C2-Server kommuniziert. Angreifer auf dem Netzwerkpfad können den Kanal übernehmen und beliebige Befehle als root ausführen. Auch DNS-Umleitung, Abgreifen von PPPoE-Zugangsdaten und Reverse-SSH-Tunnel sind möglich – ein Patch ist nicht verfügbar.
CVE-2026-74232: Kritische C2-Backdoor in Zbtlink- und MoreQuick-Routern
In Routern von Zbtlink, MoreQuick sowie weiteren Marken ist eine Hintertür (SPEAKINGSTONE/yunmgrd) eingebaut, die unverschlüsselt mit einem fest verdrahteten C2-Server kommuniziert. Angreifer auf dem Netzwerkpfad können den Kanal übernehmen und beliebige Befehle als root ausführen. Auch DNS-Umleitung, Abgreifen von PPPoE-Zugangsdaten und Reverse-SSH-Tunnel sind möglich – ein Patch ist nicht verfügbar.
Zusammenfassung
CVE-2026-74232 betrifft Router-Firmware der Hersteller Zbtlink, MoreQuick sowie weitere unter Unbekannt geführte Marken. Die Geräte enthalten den Command-and-Control-Implant SPEAKINGSTONE (yunmgrd), der über einen unverschlüsselten, unauthentifizierten UDP-Kanal regelmäßig Kontakt zu einem fest verdrahteten C2-Server aufnimmt. Ein entfernter Angreifer auf dem Netzwerkpfad kann diesen Kanal übernehmen und beliebige Befehle mit root-Rechten ausführen. Zusätzlich lassen sich DNS-Einträge manipulieren, PPPoE-Zugangsdaten exfiltrieren und Reverse-SSH-Tunnel öffnen.
Der CVSS-Score liegt bei 9.3 (Critical). Die Schwachstelle ist im VulnCheck KEV (Known Exploited Vulnerabilities) gelistet. Für die betroffenen Modelle existiert nach aktueller Kenntnis kein Patch – die Hintertür ist fester Bestandteil der ausgelieferten Firmware.
Technische Details
Der Implant yunmgrd (SPEAKINGSTONE) läuft als Dienst und sendet an den C2-Server ac-link[.]com (Alibaba Cloud, Shenzhen) über UDP/10000 sogenannte Registrier-Beacons, die Modell, Firmware-Version, MAC-Adresse, SSID, LAN-IP und Uptime des Geräts enthalten. Die Kommunikation erfolgt im Klartext und ohne Authentifizierung. Ein als Backup festverdrahtetes Domänenobjekt (findmyipaddr[.]com), das zwischenzeitlich nicht registriert war, wurde von VulnCheck als Sinkhole übernommen; 392 Geräte meldeten sich dort – 390 davon in China.
Der unverschlüsselte C2-Kanal erlaubt (msgType-Funktionen):
cmdRun – Ausführung beliebiger Befehle als root
dnsSet/dnsGet – Manipulation der DNS-Auflösung (DNS-Hijacking)
pppoe – Exfiltration von PPPoE-Benutzername und -Passwort der WAN-Verbindung
onoff/sshport – Öffnen bzw. Verwalten eines Reverse-SSH-Tunnels
setBackup – Aktualisieren der Backup-C2-Server
Vergleichbare Probleme (CWE-506 „Embedded Malicious Code“, CWE-300 „Channel Accessible by Non-Endpoint“) gelten auch für die verwandte Hintertür DARKLANTERN (infosrvd), die per UDP/9992 von außen erreichbar ist.
Betroffene Systeme
Hersteller
Modelle
Firmware
Zbtlink
L3_V2_8
3.0.0.4.528
Zbtlink
WE826-T2
19.1101
Zbtlink
ZBT-7628
1.0.0.2.007
Zbtlink
ZBT-ZBT7621
1.0.0.3.001
MoreQuick
MQAC-7620
1.0.0.2.000
MoreQuick
MQAC-7620A
1.0.0.2.000
MoreQuick
MQAP-7620
1.0.0.2.000
MoreQuick
MQAP-7620A
1.0.0.2.000
MoreQuick
MQAP-7628
1.0.0.2.000
Unbekannt
AP522
1.0.0.2.014
Unbekannt
AP7628
3.0.0.4.380
Unbekannt
APG721B
19.0809
Unbekannt
HC5661A
3.0.0.4.380
Unbekannt
HK300
1.0.0.2.032
Unbekannt
MAP-N10
1.0.0.2.044
Die Geräte werden teils unter Drittmarken (z. B. WiFlyer, CroSkylink, Deep Orange) vertrieben; auch Rebrands auf Basis der ZBT-Plattform könnten betroffen sein.
Empfehlungen und Maßnahmen
Kein Patch verfügbar: Da es sich um eine bewusst eingebaute Hintertür in der ausgelieferten Firmware handelt, gibt es nach aktuellem Stand keinen Sicherheits-Patch.
Geräte austauschen: Betroffene Router sollten aus Produktivnetzen entfernt und durch Geräte mit vertrauenswürdiger, wartbarer Firmware ersetzt werden. Prüfen Sie, ob vor dem Einsatz eine alternative Open-Source-Firmware (z. B. OpenWrt) verifiziert installiert werden kann.
Netzwerkzugriff unterbinden: Blockieren Sie ausgehende UDP-Verbindungen zu den C2-Infrastrukturen (Ports 10000 und 9992 bzw. die Domains ac-link.com und findmyipaddr.com).
Netzwerk überwachen: Achten Sie auf Beaconing-Flows zu den genannten Domains/IPs sowie auf ungewöhnliche reverse SSH-Tunnel.
Zugangsdaten rotieren lassen: Nach möglicher Kompromittierung PPPoE-Zugangsdaten ändern.
Lieferkettenrisiko beachten: Beim Kauf von Netzwerkhardware auf Herkunft und Firmware-Historie achten.
PaperCut MF/NG: Unberechtigter Zugriff auf Admin-Funktionen (CVE-2026-81578)
Im Web-Management-Interface von PaperCut MF und PaperCut NG besteht eine Schwachstelle in der Zugriffskontrolle. Unauthentifizierte entfernte Angreifer können unter bestimmten Bedingungen Backend-Aktionen auslösen, bevor die Zugriffsvalidierung abgeschlossen ist, und so Systemkonfigurationen verändern.
Affected:PaperCut MF/NG Versionen vor 24.1.10, PaperCut MF/NG 25.0.13 (und früher)...
Exploit bekanntPatch verfügbar
CVE-2026-81578
CVSS: 8.8High
PaperCut MF/NG: Unberechtigter Zugriff auf Admin-Funktionen (CVE-2026-81578)
Im Web-Management-Interface von PaperCut MF und PaperCut NG besteht eine Schwachstelle in der Zugriffskontrolle. Unauthentifizierte entfernte Angreifer können unter bestimmten Bedingungen Backend-Aktionen auslösen, bevor die Zugriffsvalidierung abgeschlossen ist, und so Systemkonfigurationen verändern.
Zusammenfassung
In den Produkten PaperCut MF und PaperCut NG besteht eine Schwachstelle in der Zugriffskontrolle (CVE-2026-81578). Unter bestimmten Bedingungen können unauthentifizierte entfernte Angreifer Anforderungen an administrative Funktionen des Web-Management-Interfaces senden, die Backend-Aktionen auslösen, bevor die Zugriffsvalidierungsprüfungen abgeschlossen sind. Dadurch ist es einem unauthentifizierten Angreifer möglich, bestimmte Systemkonfigurationen zu verändern.
Technische Details
Die Schwachstelle ist eine Schwachstelle in der Zugriffskontrolle (Improper Access Control) im Web-Management-Interface von PaperCut MF und PaperCut NG. Aufgrund einer fehlenden beziehungsweise fehlerhaften Reihenfolge der Zugriffsvalidierung werden administrative Funktionen verarbeitet, bevor die entsprechenden Validierungsprüfungen vollständig abgeschlossen sind. Ein Angreifer kann diese Race-Bedingung ausnutzen, um unautorisiert Backend-Aktionen auszulösen und Systemkonfigurationen zu modifizieren. Der CVSS-Score beträgt 8.8 (High).
Betroffene Systeme
Betroffen sind die folgenden Versionen von PaperCut MF und PaperCut NG:
PaperCut MF/NG Versionen vor 24.1.10
PaperCut MF/NG Version 25.0.13 (und frühere Versionen)
PaperCut MF/NG Version 26.0.5 (und frühere Versionen)
Empfehlungen und Maßnahmen
Aktualisieren Sie PaperCut MF/NG auf eine der korrigierten Versionen (24.1.10 oder neuer, 25.0.13 oder neuer, 26.0.5 oder neuer), sobald verfügbar.
Prüfen Sie die offizielle Sicherheitsbulletin von PaperCut für weitere Details und mögliche Workarounds.
Überwachen Sie das System auf ungewöhnliche Aktivitäten und unautorisierte Konfigurationsänderungen.
Beschränken Sie den Zugriff auf das Web-Management-Interface auf vertrauenswürdige Netzwerke.
Sicherheitslücke in PaperCut MF/NG: Unsicheres dynamisches Klassenladen (CVE-2026-82078)
In den Datenbankverbindungs-Utilities von PaperCut MF und PaperCut NG existiert eine Schwachstelle (CVE-2026-82078), die unsicheres dynamisches Klassenladen ermöglicht. Angreifer mit Zugriff auf Systemkonfigurationsparameter können beliebigen Java-Code unter dem Sicherheitskontext des PaperCut-Serverprozesses ausführen.
Sicherheitslücke in PaperCut MF/NG: Unsicheres dynamisches Klassenladen (CVE-2026-82078)
In den Datenbankverbindungs-Utilities von PaperCut MF und PaperCut NG existiert eine Schwachstelle (CVE-2026-82078), die unsicheres dynamisches Klassenladen ermöglicht. Angreifer mit Zugriff auf Systemkonfigurationsparameter können beliebigen Java-Code unter dem Sicherheitskontext des PaperCut-Serverprozesses ausführen.
Zusammenfassung
PaperCut MF und PaperCut NG sind von einer schwerwiegenden Sicherheitslücke (CVE-2026-82078) betroffen, die auf unsicheres dynamisches Klassenladen in den Datenbankverbindungs-Utilities zurückzuführen ist. Die Anwendung instanziiert Datenbanktreiber-Klassen auf Basis konfigurierbarer Treibernamen, ohne diese gegen eine Zulassungsliste (Allowlist) geprüfter Treiber zu validieren. Ein Angreifer, der Systemkonfigurationsparameter manipulieren kann, kann dadurch beliebigen Java-Bytecode ausführen, der sich auf dem Klassenpfad der Anwendung befindet.
Technische Details
Die Schwachstelle mit einem CVSS-Score von 9.4 betrifft das instantiieren von Datenbanktreiber-Klassen, bei dem benutzerkonfigurierte Treibernamen nicht gegen eine Zulassungsliste validiert werden. Durch die Manipulation von Systemkonfigurationsparametern kann ein Angreifer die Ausführung von beliebigem Java-Bytecode unter dem Sicherheitskontext des PaperCut-Serverprozesses erreichen. Dies kann zu vollständiger Kompromittierung des betroffenen Servers führen.
Betroffene Systeme
PaperCut MF/NG 0 < 24.1.10
PaperCut MF/NG 25.0.13
PaperCut MF/NG 26.0.5
Empfehlungen und Maßnahmen
Betroffene Systeme sollten umgehend auf eine gepatchte Version aktualisiert werden, sofern verfügbar.
Die vom Hersteller veröffentlichten Emergency Patches sollten auf allen öffentlich zugänglichen PaperCut NG/MF-Servern installiert werden.
Falls ein Server kompromittiert wurde, sollte dieser aus Backup-Wiederherstellungen neu aufgesetzt und bestehende Sicherheitsmaßnahmen überprüft werden.
Es sollten die Hinweise und Empfehlungen des Herstellers im offiziellen Security Bulletin beachtet werden.
CVE-2023-49105 – Authentifizierungs-Bypass bei pre-signierten URLs in ownCloud
Eine kritische Schwachstelle in ownCloud core vor Version 10.13.1 erlaubt es einem Angreifer, ohne Authentifizierung auf beliebige Dateien zuzugreifen, sie zu verändern oder zu löschen. Voraussetzung ist, dass der Benutzername des Opfers bekannt ist und dieses keine Signatur-Schlüssel konfiguriert hat.
Affected:ownCloud owncloud/core < 10.13.1 (ab 10.6.0)
Exploit bekanntPatch verfügbar
CVE-2023-49105
CVSS: 9.8Critical
CVE-2023-49105 – Authentifizierungs-Bypass bei pre-signierten URLs in ownCloud
Eine kritische Schwachstelle in ownCloud core vor Version 10.13.1 erlaubt es einem Angreifer, ohne Authentifizierung auf beliebige Dateien zuzugreifen, sie zu verändern oder zu löschen. Voraussetzung ist, dass der Benutzername des Opfers bekannt ist und dieses keine Signatur-Schlüssel konfiguriert hat.
Zusammenfassung
CVE-2023-49105 ist eine kritische Schwachstelle in ownCloud (owncloud/core), die es einem Angreifer ermöglicht, ohne Authentifizierung auf beliebige Dateien eines Opfers zuzugreifen, sie zu verändern oder zu löschen. Voraussetzung ist, dass der Benutzername des Opfers bekannt ist und das Opfer keinen Signatur-Schlüssel konfiguriert hat.
Die Schwachstelle wurde mit einem CVSS-Score von 9,8 (Critical) bewertet und betrifft alle Versionen bis einschließlich 10.13.0, die früheste betroffene Version ist 10.6.0.
Technische Details
Der Fehler liegt in der Verarbeitung von pre-signierten URLs (vorgeschriebene URLs) im WebDAV-API-Endpunkt von ownCloud. Diese URLs können akzeptiert werden, selbst wenn für den Eigentümer der Dateien kein Signatur-Schlüssel konfiguriert ist.
Ein Angreifer, der die Benutzernamen eines Opfers kennt, kann auf diese Weise pre-signierte URLs erzeugen, die ohne gültige Signatur akzeptiert werden. Dadurch erhält er unautorisierten Zugriff auf Dateien und kann diese zusätzlich verändern oder löschen – vollständig ohne Authentifizierung gegenüber dem Server.
Betroffene Systeme
Produkt
Betroffene Version
Gefixte Version
ownCloud owncloud/core
< 10.13.1 (ab 10.6.0)
10.13.1
Empfehlungen und Maßnahmen
Sofortiges Update: Aktualisieren Sie ownCloud umgehend auf Version 10.13.1 oder neuer.
Konfigurieren Sie Signatur-Schlüssel: Stellen Sie sicher, dass für alle Benutzer ein Signatur-Schlüssel konfiguriert ist, um die Schwachstelle bereits auf Benutzerebene zu entschärfen.
Zugriff prüfen: Überprüfen Sie die Zugriffsprotokolle auf unautorisierte Dateizugriffe über den WebDAV-Endpunkt.
Sicherheitshinweise befolgen: Beachten Sie die offiziellen Empfehlungen und das Security Advisory von ownCloud.
Linux-Kernel: Heap-Overlauf durch falsche Speicherberechnung in ipv6 (CVE-2026-53362)
Eine Schwachstelle im Linux-Kernel erlaubt es einem unprivilegierten Benutzer, über einen UDPv6-Socket (MSG_MORE + MSG_SPLICE_PAGES) einen Heap-Pufferüberlauf auszulösen. Ursache ist eine fehlerhafte Speicherallokation im paged-Zweig von __ip6_append_data(), die fraggap-Bytes nicht berücksichtigt. Ein Patch ist verfügbar.
Affected:Linux Kernel 6.0, Linux Kernel 6.1 (bis 6.1.176)...
Exploit bekanntPatch verfügbar
CVE-2026-53362
CVSS: 7.8High
Linux-Kernel: Heap-Overlauf durch falsche Speicherberechnung in ipv6 (CVE-2026-53362)
Eine Schwachstelle im Linux-Kernel erlaubt es einem unprivilegierten Benutzer, über einen UDPv6-Socket (MSG_MORE + MSG_SPLICE_PAGES) einen Heap-Pufferüberlauf auszulösen. Ursache ist eine fehlerhafte Speicherallokation im paged-Zweig von __ip6_append_data(), die fraggap-Bytes nicht berücksichtigt. Ein Patch ist verfügbar.
Zusammenfassung
In der Funktion __ip6_append_data() des Linux-Kernels wurde eine fehlerhafte Speicherberechnung im paged-allocation-Zweig (MSG_MORE / NETIF_F_SG / große fraglen) entdeckt. Beim Auftreten eines fraggap (datalen = length + fraggap) wird die lineare Speicherfläche um fraggap-Bytes unterdimensioniert und pagedlen entsprechend überdimensioniert. Dadurch schreibt die Kopierroutine über skb->end hinaus in das nachfolgende skb_shared_info und verursacht einen Heap-Pufferüberlauf.
Ein unprivilegierter Benutzer kann diese Schwachstelle über einen UDPv6-Socket mit MSG_MORE in Kombination mit MSG_SPLICE_PAGES auslösen. Dies kann zu einer Kernel-Panic, einem Denial-of-Service oder potenziell zur Ausführung von Schadcode führen.
Technische Details
Im paged-allocation-Zweig von __ip6_append_data() wurden alloclen und pagedlen wie folgt berechnet:
Datalen enthält bereits den fraggap (datalen = length + fraggap). Ist fraggap ungleich null, handelt es sich nicht um das erste skb und transhdrlen ist null. Die vom vorherigen skb übernommenen fraggap-Bytes werden direkt hinter den Fragment-Headern im linearen Bereich des neuen skb kopiert. Der lineare Bereich ist daher um fraggap-Bytes unterdimensioniert, während pagedlen um denselben Betrag überdimensioniert ist – die Kopie schreibt über skb->end in das anhängende skb_shared_info.
Die fehlerhafte Berechnung wurde durch Commit 773ba4fe9104 ("ipv6: avoid partial copy for zc") eingeführt. Vor Commit ce650a166335 ("udp6: Fix __ip6_append_data()'s handling of MSG_SPLICE_PAGES") führte der negative Kopierwert zu einem -EINVAL-Fehler. Dieser spätere Commit erlaubte MSG_SPLICE_PAGES in diesem Fall, wodurch die Korruption auslösbar wurde.
Für die Behebung wird fraggap zu alloclen addiert und von pagedlen subtrahiert. Der nicht-paged-Zweig setzt alloclen bereits auf fraglen, das fraggap durch datalen berücksichtigt. Zusätzlich wurden ein veralteter Kommentar zur alten Arithmetik sowie die MSG_SPLICE_PAGES-Ausnahme in der negativen Kopierprüfung entfernt.
Betroffene Systeme
Linux Kernel 6.0
Linux Kernel 6.1 (Fix: Patch 6.1.177)
Linux Kernel 6.6 (Fix: Patch 6.6.144)
Linux Kernel 6.12 (Fix: Patch 6.12.95)
Linux Kernel 6.18 (Fix: Patch 6.18.38)
Linux Kernel 7.1 (Fix: Patch 7.1.3)
Linux Kernel 7.2 (Fix: Patch 7.2)
Alle Versionen zwischen Commit 773ba4fe9104a64a54d1c00f0fb6ffb95def2b03 und den jeweiligen Fix-Commits
Linux Kernel Patch 0
Empfehlungen und Maßnahmen
Systeme umgehend auf die gepatchten Kernel-Versionen aktualisieren: 6.1.177, 6.6.144, 6.12.95, 6.18.38, 7.1.3 und 7.2.
Falls kein sofortiger Kernel-Update möglich ist, die betroffenen Fix-Commits als Sicherheits-Patch einspielen bzw. Backport vornehmen.
Netzwerkzugriff auf UDPv6-Dienste einschränken und die Nutzung von MSG_SPLICE_PAGES durch unprivilegierte Prozesse überwachen.
Sicherheitsmonitoring aktivieren, um auf anomales Systemverhalten oder Kernel-Panics zu reagieren.
Betroffene Systeme:Linux Kernel 6.0, Linux Kernel 6.1 (bis 6.1.176), Linux Kernel 6.6 (bis 6.6.143), Linux Kernel 6.12 (bis 6.12.94), Linux Kernel 6.18 (bis 6.18.37), Linux Kernel 7.1 (bis 7.1.2), Linux Kernel 7.2 (bis 7.1.3), Linux Kernel Patch 0
Exploit bekanntPatch verfügbar
CVE-2026-60004
CVSS: 9.8
Critical
Kritische Schwachstelle in Gitea: Remote Code Execution (CVE-2026-60004)
Eine kritische Schwachstelle in Gitea vor Version 1.27.1 ermöglicht Remote Code Execution über die diffpatch API durch die Installation von Git Hooks. Angreifer können betroffene Systeme vollständig kompromittieren.
Affected:Gitea Gitea 1.17 <1.27.1
Exploit bekanntPatch verfügbar
CVE-2026-60004
CVSS: 9.8Critical
Kritische Schwachstelle in Gitea: Remote Code Execution (CVE-2026-60004)
Eine kritische Schwachstelle in Gitea vor Version 1.27.1 ermöglicht Remote Code Execution über die diffpatch API durch die Installation von Git Hooks. Angreifer können betroffene Systeme vollständig kompromittieren.
Zusammenfassung
In Gitea vor Version 1.27.1 wurde eine kritische Schwachstelle entdeckt, die Remote Code Execution (RCE) ermöglicht. Die Sicherheitslücke wird über die diffpatch API durch die Installation von Git Hooks ausgenutzt. Da ein erfolgreicher Angriff vollständige Systemkontrolle ermöglicht, wird die Schwachstelle als kritisch eingestuft.
Technische Details
Die Schwachstelle mit der CVE-ID CVE-2026-60004 betrifft Gitea, eine selbst gehostete Git-Plattform. Angreifer können über die diffpatch API schädliche Git Hooks installieren, wodurch beliebiger Code auf dem Server ausgeführt werden kann (Remote Code Execution). Der CVSS-Score beträgt 9.8 und ist damit als kritisch einzustufen. Ein erfolgreicher Exploit kann zur vollständigen Kompromittierung des betroffenen Servers und aller darauf gehosteten Repositories führen.
Betroffene Systeme
Folgende Systeme sind von der Schwachstelle betroffen:
Gitea Gitea 1.17 <1.27.1
Empfehlungen und Maßnahmen
Sofortiges Update: Aktualisieren Sie Gitea unverzüglich auf Version 1.27.1 oder neuer, da ein offizieller Patch verfügbar ist.
Zugriffskontrolle: Schränken Sie den Zugriff auf die diffpatch API und die Administration ein, sofern ein sofortiges Update nicht möglich ist.
Überwachung: Überwachen Sie die Systeme auf verdächtige Aktivitäten, insbesondere auf ungewöhnliche Git Hook Installationen und unbefugte Repository-Zugriffe.
Audit: Prüfen Sie bestehende Git Hooks auf Anzeichen von Manipulation oder nicht autorisierte Einträge.
CVE-2021-23758: Unsichere Deserialisierung in AjaxPro.2 ermöglicht Remote-Code-Ausführung
AjaxPro.2 ist in allen Versionen anfällig für die Deserialisierung nicht vertrauenswürdiger Daten. Angreifer können beliebige .NET-Klassen einschleusen und so Remote-Code-Ausführung (RCE) erlangen. Ein Sicherheitsupdate bzw. ein aktualisierter Patch ist verfügbar.
Affected:AjaxPro.2 (Paket ajaxpro.2, alle Versionen)
Exploit bekanntPatch verfügbar
CVE-2021-23758
CVSS: 8.1High
CVE-2021-23758: Unsichere Deserialisierung in AjaxPro.2 ermöglicht Remote-Code-Ausführung
AjaxPro.2 ist in allen Versionen anfällig für die Deserialisierung nicht vertrauenswürdiger Daten. Angreifer können beliebige .NET-Klassen einschleusen und so Remote-Code-Ausführung (RCE) erlangen. Ein Sicherheitsupdate bzw. ein aktualisierter Patch ist verfügbar.
Zusammenfassung
CVE-2021-23758 betrifft alle Versionen des .NET-Pakets ajaxpro.2. Aufgrund fehlender Validierung können nicht vertrauenswürdige Daten deserialisiert werden, wodurch Angreifer beliebige .NET-Klassen einschleusen können. Dies kann missbraucht werden, um Remote-Code-Ausführung (RCE) auf dem betroffenen Server zu erlangen.
Der CVSS-Score beträgt 8.1 (High), was die hohe Schwere der Schwachstelle widerspiegelt.
Technische Details
Die Schwachstelle liegt in der Deserialisierung nicht vertrauenswürdiger Daten innerhalb von AjaxPro.2. Durch manipulierte Eingaben kann ein Angreifer die Deserialisierung beliebiger .NET-Klassen auslösen. Erfolgreich ausgenutzt, kann dies zur Ausführung von Schadcode auf dem Server führen und damit die vollständige Kompromittierung des betroffenen Systems ermöglichen.
Das Problem wurde im Projekt Ajax.NET-Professional durch einen entsprechenden Commit behoben.
Betroffene Systeme
Alle Versionen des Pakets ajaxpro.2 (AjaxPro.2)
Systeme und Anwendungen, die AjaxPro.2 in einer verwundbaren Version einsetzen
Empfehlungen und Maßnahmen
Patchen bzw. Upgrade auf eine aktualisierte, nicht verwundbare Version von AjaxPro.2 (bzw. Ajax.NET-Professional) durchführen.
Den bereitgestellten Fix bzw. Commit anwenden, sofern keine neuere Release-Version verfügbar ist.
Eingaben, die der Deserialisierung zugeführt werden, strikt validieren und nicht vertrauenswürdige Quellen blockieren.
Beschränken des Zugriffs auf betroffene Endpunkte durch netzwerkbasierte Schutzmechanismen.
Betroffene Systeme:AjaxPro.2 (Paket ajaxpro.2, alle Versionen)
Exploit bekanntPatch verfügbar
CVE-2022-0995
CVSS: 7.8
High
Linux-Kernel: Out-of-Bounds-Write in watch_queue-Subsystem kann zu Privilege-Escalation führen
Eine out-of-bounds-Speicherschreibschwäche im watch_queue-Ereignisbenachrichtigungssystem des Linux-Kernels kann Kernel-Zustand überschreiben und dadurch eine lokale Privilege-Escalation oder einen Denial-of-Service ermöglichen.
Affected:Linux Kernel 5.17 rc8, Linux Distributionen mit verwundbaren Kernel-Versionen (watch_queue)
Exploit bekanntPatch verfügbar
CVE-2022-0995
CVSS: 7.8High
Linux-Kernel: Out-of-Bounds-Write in watch_queue-Subsystem kann zu Privilege-Escalation führen
Eine out-of-bounds-Speicherschreibschwäche im watch_queue-Ereignisbenachrichtigungssystem des Linux-Kernels kann Kernel-Zustand überschreiben und dadurch eine lokale Privilege-Escalation oder einen Denial-of-Service ermöglichen.
Zusammenfassung
In der watch_queue-Ereignisbenachrichtigung des Linux-Kernels wurde eine Sicherheitslücke (CVE-2022-0995) entdeckt, die einen Out-of-Bounds (OOB) Speicherschreibfehler verursacht. Ein lokaler Angreifer kann diese Schwachstelle ausnutzen, um Teile des Kernel-Zustands zu überschreiben und so unter Umständen erweiterte Rechte (Privilege Escalation) zu erlangen oder einen Denial-of-Service (DoS) auf dem betroffenen System auszulösen. Die Lücke wird mit einem CVSS-Score von 7.8 als hoch eingestuft.
Technische Details
Die Schwachstelle befindet sich im watch_queue-Subsystem, das für die Ereignisbenachrichtigung im Linux-Kernel zuständig ist. Durch fehlerhafte Längen- bzw. Bereichsprüfungen beim Verarbeiten von watch-Queue-Filtern kann es zu einem Schreibzugriff außerhalb der vorgesehenen Speichergrenzen kommen. Der Angriff erfolgt lokal und erfordert keinen physischen Zugriff; ein angemeldeter Benutzer kann die Schwachstelle ausnutzen, um Speicherbereiche des Kernels zu überschreiben. Dies kann zur Übernahme privilegierter Operationen sowie zum Absturz oder Hängenbleiben des Systems führen.
Betroffene Systeme
Linux Kernel 5.17 rc8
Weitere Linux-Distributionen und Systeme, die betroffene Kernel-Versionen mit der verwundbaren watch_queue-Funktionalität einsetzen
Empfehlungen und Maßnahmen
Patches/Kernel-Updates unverzüglich einspielen: Der Fix ist in aktuellen Kernel-Versionen enthalten (Commit 93ce93587d36493f2f86921fa79921b3cba63fbb im Haupt-Kernel-Baum).
Systeme auf aktuelle, gepatchte Kernel-Versionen aktualisieren, sobald der jeweilige Distribution-Hersteller aktualisierte Pakete bereitstellt.
Falls ein sofortiges Update nicht möglich ist, die Nutzung der betroffenen watch_queue-Funktionalität einschränken oder lokalen Benutzern mit beschränkten Rechten kein Zugriff auf betroffene Systeme gewähren.
Netzwerk- und Storage-Anbieter wie NetApp empfehlen ebenfalls die Anwendung verfügbarer Patches (siehe Quellen).
Betroffene Systeme:Linux Kernel 5.17 rc8, Linux Distributionen mit verwundbaren Kernel-Versionen (watch_queue)
Exploit bekanntPatch verfügbar
CVE-2015-3246
CVSS: 5.1
Medium
Kritische Sicherheitslücke in n/a (CVE-2015-3246)
In n/a wurde eine Sicherheitslücke (CVE-2015-3246) entdeckt. Details und Übersetzung folgen.
Affected:n/a n/a n/a
Exploit bekannt
CVE-2015-3246
CVSS: 5.1Medium
Kritische Sicherheitslücke in n/a (CVE-2015-3246)
In n/a wurde eine Sicherheitslücke (CVE-2015-3246) entdeckt. Details und Übersetzung folgen.
Zusammenfassung
In n/a wurde eine Sicherheitslücke (CVE-2015-3246) mit CVSS-Score 5.1 entdeckt.
Technische Details
Die detaillierte Analyse konnte nicht automatisch erstellt werden. Siehe Original-Beschreibung unten.
Original-Beschreibung (englisch):
libuser before 0.56.13-8 and 0.60 before 0.60-7, as used in the userhelper program in the usermode package, directly modifies /etc/passwd, which allows local users to cause a denial of service (inconsistent file state) by causing an error during the modification. NOTE: this issue can be combined with CVE-2015-3245 to gain privileges.
Empfehlungen
Überprüfen Sie, ob Sie betroffene Systeme verwenden
Kritische Sicherheitslücke in NetScaler (CVE-2026-8452)
In NetScaler wurde eine Sicherheitslücke (CVE-2026-8452) entdeckt. Details und Übersetzung folgen.
Affected:NetScaler ADC 13.1 FIPS and NDcPP <37.272, NetScaler ADC 14.1 <72.61...
Exploit bekannt
CVE-2026-8452
CVSS: 8.8High
Kritische Sicherheitslücke in NetScaler (CVE-2026-8452)
In NetScaler wurde eine Sicherheitslücke (CVE-2026-8452) entdeckt. Details und Übersetzung folgen.
Zusammenfassung
In NetScaler wurde eine Sicherheitslücke (CVE-2026-8452) mit CVSS-Score 8.8 entdeckt.
Technische Details
Die detaillierte Analyse konnte nicht automatisch erstellt werden. Siehe Original-Beschreibung unten.
Original-Beschreibung (englisch):
Memory overflow vulnerability NetScaler ADC and NetScaler Gateway leading to unpredictable or erroneous behavior and Denial of Service if the appliance is configured as a Gateway (SSL VPN, ICA Proxy, CVPN, RDP Proxy) or AAA virtual server
Empfehlungen
Überprüfen Sie, ob Sie betroffene Systeme verwenden
Betroffene Systeme:NetScaler ADC 13.1 FIPS and NDcPP <37.272, NetScaler ADC 14.1 <72.61, NetScaler ADC 13.1 <63.18, NetScaler ADC 14.1 FIPS <72.61, NetScaler Gateway 14.1 <72.61, NetScaler Gateway 13.1 <63.18
Exploit bekanntKein Patch verfügbar
CVE-2019-1068
CVSS: 8.8
High
Kritische Sicherheitslücke in Microsoft (CVE-2019-1068)
In Microsoft wurde eine Sicherheitslücke (CVE-2019-1068) entdeckt. Details und Übersetzung folgen.
Affected:Microsoft Microsoft SQL Server 2014 Service Pack 3 for 32-bit Systems (GDR) unspecified, Microsoft Microsoft SQL Server 2014 Service Pack 2 for x64-based Systems (GDR) unspecified...
Exploit bekannt
CVE-2019-1068
CVSS: 8.8High
Kritische Sicherheitslücke in Microsoft (CVE-2019-1068)
In Microsoft wurde eine Sicherheitslücke (CVE-2019-1068) entdeckt. Details und Übersetzung folgen.
Zusammenfassung
In Microsoft wurde eine Sicherheitslücke (CVE-2019-1068) mit CVSS-Score 8.8 entdeckt.
Technische Details
Die detaillierte Analyse konnte nicht automatisch erstellt werden. Siehe Original-Beschreibung unten.
Original-Beschreibung (englisch):
A remote code execution vulnerability exists in Microsoft SQL Server when it incorrectly handles processing of internal functions, aka 'Microsoft SQL Server Remote Code Execution Vulnerability'.
Empfehlungen
Überprüfen Sie, ob Sie betroffene Systeme verwenden
Betroffene Systeme:Microsoft Microsoft SQL Server 2014 Service Pack 3 for 32-bit Systems (GDR) unspecified, Microsoft Microsoft SQL Server 2014 Service Pack 2 for x64-based Systems (GDR) unspecified, Microsoft Microsoft SQL Server 2017 for x64-based Systems (CU), Microsoft Microsoft SQL Server 2014 Service Pack 3 for 32-bit Systems (CU) unspecified, Microsoft Microsoft SQL Server 2016 for x64-based Systems Service Pack 2 (CU), Microsoft Microsoft SQL Server 2014 Service Pack 2 for x64-based Systems (CU), Microsoft Microsoft SQL Server 2014 Service Pack 3 for x64-based Systems (GDR) unspecified, Microsoft Microsoft SQL Server 2014 Service Pack 2 for 32-bit Systems (GDR) unspecified, Microsoft Microsoft SQL Server 2016 for x64-based Systems Service Pack 1 (GDR) unspecified, Microsoft Microsoft SQL Server 2016 for x64-based Systems Service Pack 1 (CU), Microsoft Microsoft SQL Server 2016 for x64-based Systems Service Pack 2 (GDR) unspecified, Microsoft Microsoft SQL Server 2014 Service Pack 3 for x64-based Systems (CU) unspecified, Microsoft Microsoft SQL Server 2017 for x64-based Systems (GDR) unspecified, Microsoft Microsoft SQL Server 2014 Service Pack 2 for 32-bit Systems (CU)
