LONDON (IT BOLTWISE) – OpenWrt liefert mit Version 24.10.8 und 25.12.5 sicherheitsrelevante Fixes für mehrere Schwachstellen nach. Besonders kritisch ist ein DHCPv6-Problem in odhcpd: Ein unauthentifizierter Angreifer mit Erreichbarkeit des DHCPv6-Servers kann über einen gezielten REQUEST einen Stack-Buffer überschreiben. Zusätzlich werden in optionalen LuCI-Komponenten command-injection-, path-traversal- und Stored-XSS-Risiken adressiert. Für Administratoren zählt vor allem das Update auf die betroffenen Release-Zweige sowie die Überprüfung delegierter LuCI-Berechtigungen und installierter optionaler Apps.
OpenWrt schiebt nach und priorisiert gleich mehrere Baustellen in seiner Netzwerk- und Web-Stack-Sicherheit: Mit 24.10.8 (für die 24.10er-Branch) und 25.12.5 (für 25.12) schließt das Projekt einen als besonders kritisch eingestuften Fehler im DHCPv6-Teil von odhcpd. Der Hintergrund ist weniger “Crash um jeden Preis” als vielmehr eine konkrete Angriffsfläche: Ein unauthentifizierter Angreifer, der das DHCPv6-Service erreichen kann, soll über einen speziell geformten DHCPv6 REQUEST einen Stack-Buffer überschreiben können. In der Praxis heißt das: Wenn das Zielsystem keine zusätzlichen Schutzmechanismen wie Stack Canary oder ASLR mitbringt – typisch ist das bei eingebetteten Plattformen – steigt die Wahrscheinlichkeit, dass aus einem Schreibvorgang tatsächlich Code-Ausführung wird.
Das Security Advisory führt die Hauptlücke unter CVE-2026-53921 mit einer CVSS 3.1 Bewertung von 9,8 auf. Technisch wird beschrieben, dass zwei unabhängige Overflow-„Sites“ im Request-Processing-Flow von odhcpd existieren. In beiden Fällen lassen die crafteten DHCPv6-Optionen nicht genug Platz in einem fest dimensionierten 512-Byte-Stack-Puffer, bevor später weitere Antwortdaten in den Response-Buffer bzw. die Stack-Struktur geschrieben werden. Entscheidender Trigger ist dabei nicht irgendein Management-Endpunkt, sondern der unauthentifizierte REQUEST an UDP-Port 547, also genau die Schnittstelle, die viele Router direkt im LAN/WAN-Umfeld erreichbar haben – je nach Netzsegmentierung kann der Angreifer damit “netzwerknah” sein, ohne Authentifizierung vorweisen zu müssen.
OpenWrt ordnet das Risiko außerdem in die betroffene Codebasis ein: Als verwundbar gelten odhcpd-Versionen, die dhcpv6_ia_handle_IAs() und build_ia() enthalten, sowie ein als „master at commit e432dd6“ benannter Referenzstand. Dass das Projekt das Fixing in 24.10.8 und 25.12.5 veröffentlicht, ist dabei nicht nur ein Versionssprung, sondern auch ein konkretes Sicherheitsprinzip: Die Reparatur setzt auf eine zusätzliche Kapazitätsprüfung, bevor in der Response-Abarbeitung weitere Daten angehängt werden. Interessant ist daneben die Divergenz in der Notation: In den Release Notes taucht eine besonders hohe Severity auch als RECONF_ACCEPT ohne zugehörige CVE auf, während das Advisory beide dokumentierten Overflow-Pfade unter derselben CVE zusammenfasst. Für Betreiber bedeutet das vor allem eins: sich nicht auf eine einzelne Zeile der Release Notes zu verlassen, sondern das Full-Update auf die genannten Firmwarestände durchzuführen.
Unabhängig vom DHCPv6-Fall kommt eine zweite, breiter gefächerte Risikolage hinzu, die stark an die Web-Oberfläche gekoppelt ist. OpenWrt behebt in derselben Veröffentlichung mehrere Schwachstellen in HTTP-Handling-Komponenten, darunter uhttpd-Probleme im Kontext von Request Smuggling sowie eine DHCPv6 Hostname-Injection (CVE-2026-62948), die bei geöffneten LuCI-Ansichten zu Stored XSS führen kann. Ergänzend ist CVE-2026-62947 in cgi-io relevant: Hier geht es um Path Traversal, das je nach Berechtigung einen Dateizugriff ermöglicht, der grundsätzlich bis zu beliebigen (root- oder CGI-lesbaren) Dateien reichen kann. Wichtig ist die Abgrenzung: Der Pfad ist nicht als anonyme „Datei lesen“-Lücke beschrieben, weil dafür eine authentifizierte Sitzung und passende Berechtigungen nötig sind.
Zusätzlich zu den in der Firmware enthaltenen Fixes gab es Berichte über weitere LuCI-Details, die zum Stichtag der Prüfung noch nicht vollständig in die konkrete 24.10.8-Veröffentlichung eingewoben waren. Besonders im Fokus steht dabei ein LuCI-Paket, das als optionales Feature installiert werden muss: luci-app-commands. Dort beschreibt das Updategeschehen ein command-injection-artiges Problem, das laut Pull-Request-Änderungen einen “bare pipe”-Operator in Kombination mit einer Argument-Allowlist durchließ; unter bestimmten Voraussetzungen konnte das sogar ohne Session-Cookie und ohne CSRF-Token funktionieren, sofern ein Administrator den betreffenden Befehl sowohl als “public” als auch als parametrisierbar konfiguriert hatte. Daneben werden weitere LuCI-bezogene Pfade genannt, etwa ein stored XSS in luci-app-olsr (ausgelöst über einen bösartigen Hostnamen, sobald ein Admin eine Nachbarschaftsseite aufruft) sowie path-traversal- und injection-nahe Stellen in mehreren anderen Anwendungen wie luci-app-ddns und luci-proto-openvpn. Ergänzend existiert ein separater Fix-Stream für unsichere DDNS-Skripte außerhalb von LuCI, bei dem ein Delegierter gefährliche Syntax in einen Wert einschleusen kann, die erst beim nächsten Start des Updaters greift.
Ein weiterer Aspekt für Security-Verantwortliche ist der Patch-Footprint und die Betriebsstrategie. OpenWrt nennt für die 24.10-Produktlinie ein geplantes Ende der Wartung im September 2026 und empfiehlt, spätestens vorher in die 25.12er-Serie zu migrieren. Wer nur einzelne Pakete nachzieht, muss damit rechnen, dass Firmware-nahe Abhängigkeiten oder Backports getrennt aktualisiert werden müssen. Für die Risikoabschätzung zu den LuCI-Paketen hilft zudem die konkrete Voraussetzungslage: Die “unauthenticated” Bewertung beim DHCPv6 bezieht sich auf die Erreichbarkeit des DHCPv6-Service, während die LuCI-Command-Execution-Pfade in mehreren Fällen eine bewusste Konfiguration durch Administratoren oder zusätzliche (authenticated) LuCI-Zugriffe erfordern. Praktisch heißt das: Regelmäßige Inventarisierung installierter optionaler Anwendungen, Überprüfung delegierter LuCI-Berechtigungen und ein Review von “public + parameterised”-Befehlen in luci-app-commands sind oft genauso wichtig wie das reine Firmware-Update.
Spannend ist schließlich, wie die Lücken identifiziert und die Fixes abgesichert wurden: Hacker House beschreibt einen mehrstufigen Prüfprozess, der bei Open-Source-Projekten mit Threat Modeling startet, über Inference-Fuzzing eine große Kandidatenmenge generiert, anschließend mit präziseren Modellen false positives herausfiltert und die verbliebenen Findings manuell verifiziert. Für die technische Triagierung wird zudem dynamisches Testing in der Praxis als Ergänzung genannt, um Exploit-Pfade nicht nur theoretisch, sondern in einem realistischen Ablauf zu verifizieren. OpenWrt selbst nutzt dabei ebenfalls KI-gestützte Assistenz in einzelnen Change-Entwürfen; entscheidend bleibt aber, dass am Ende Maintainer und Reviewer die Änderungen prüfen und die Fixes als „shipped“ in die Release-Zweige übernehmen. Für Teams in der Unternehmenspraxis ist das vor allem ein Hinweis auf Beschleunigung in der Vulnerability-Industrie: Automatisierung kann die Entdeckungsgeschwindigkeit erhöhen, die Governance für Patch-Verteilung bleibt trotzdem ein harter Taktgeber.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "OpenWrt schließt kritische DHCPv6-Stack-Overflows und LuCI-Sicherheitslücken" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "OpenWrt schließt kritische DHCPv6-Stack-Overflows und LuCI-Sicherheitslücken" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »OpenWrt schließt kritische DHCPv6-Stack-Overflows und LuCI-Sicherheitslücken« bei Google Deutschland suchen, bei Bing oder Google News!