Eine neue Sicherheitslücke in der Firewall‑Software pfSense von Netgate ermöglicht es einem entfernten, authentifizierten Angreifer, Sicherheitsmechanismen zu umgehen und beliebigen PHP‑Code sowie Shell‑Befehle auszuführen. Die Schwachstelle wurde im Sicherheits‑Advisory WID‑SEC‑2026‑3386 des CERT‑Bund veröffentlicht.
Technische Details
Die Lücke beruht auf einer fehlerhaften Validierung von Eingaben im Web‑Interface, wodurch ein Angreifer über eine gültige Benutzeranmeldung Befehle in die Systemumgebung einschleusen kann.
Mögliche Auswirkungen
Durch die Ausführung von PHP‑Code können Angreifer die Kontrolle über das betroffene Gerät erlangen, Netzwerkverkehr manipulieren oder weitere Systeme kompromittieren. Die Möglichkeit, Shell‑Befehle zu starten, erweitert das Risiko auf Systemebene.
Betroffene Versionen
Das Advisory listet die betroffenen Versionen 2.5.0 bis 2.7.5 auf. Nutzer, die neuere Versionen einsetzen, seien von der Lücke nicht betroffen, sofern keine Rückwärtskompatibilitäts‑Plugins installiert seien.
Reaktion des Herstellers
Netgate hat in einer Stellungnahme bestätigt, dass ein Patch für die betroffenen Versionen bereitgestellt wird und empfiehlt allen Administratoren, das Update umgehend zu installieren.
Empfohlene Gegenmaßnahmen
Der CERT‑Bund rät Administratoren, bis zum Patch die Zugriffskontrolle auf das Web‑Interface zu beschränken, starke Passwörter zu verwenden und nicht benötigte Dienste zu deaktivieren.
Bedeutung für die Praxis
Die Meldung unterstreicht die Bedeutung regelmäßiger Sicherheitsüberprüfungen von Netzwerkgeräten, insbesondere in kritischen Infrastrukturen, und weist darauf hin, dass authentifizierte Angreifer häufig über legitime Zugangsdaten Schadcode ausführen können.
Dieser Bericht basiert auf Informationen von CERT-Bund, lizenziert unter Amtliches Werk gem. § 5 UrhG (Deutschland).
Ende der Uebertragung