.svg "logo (2)"){kind=small}
Mehrere Sicherheitslücken in OpenWrt geschlossen
Die quelloffene Router-Firmware OpenWrt ist in neuen Versionen erschienen, die mehrere Sicherheitslücken schließen. Nach Angaben der Entwickler betrifft das vor allem die Releases OpenWrt 24.10.8 und OpenWrt 25.12.5. Der 24er Entwicklungszweig erhält nur noch Sicherheitsupdates und keine neuen Funktionen mehr. Für Betreiber heißt das: Es geht hier nicht um neue Funktionen, sondern um die Schließung von Schwachstellen, die den Betrieb direkt betreffen können.
Besonders kritisch: Lücken in Standarddiensten
Ein Schwerpunkt liegt auf dem DHCP-Server odhcpd, der standardmäßig aktiv ist. Dort kann ein Pufferüberlauf auf dem Stack bei der Verarbeitung von DHCPv6-IA-Antworten auftreten. Laut Schwachstellenmeldung lässt sich das mit einem einzigen UDP-Paket aus dem Netz und ohne vorherige Anmeldung ausnutzen. Eine weitere Lücke erlaubt es DHCPv6-Clients ohne vorherige Authentifizierung, manipulierte FQDN-Hostnamen in Lease-Files einzuschleusen. Das kann wiederum in einer Stored-Cross-Site-Scripting-Lücke in der LuCI-DHCPv6-Leases-Statusseite enden.
Was die Begriffe bedeuten
Ein Pufferüberlauf auf dem Stack bedeutet, dass ein Programm bei der Verarbeitung von Daten mehr Speicher beschreibt, als vorgesehen ist. In diesem Fall betrifft das die Verarbeitung von DHCPv6-IA-Antworten. Stored Cross-Site Scripting beschreibt, dass schädliche Inhalte dauerhaft gespeichert werden und später in einer Weboberfläche ausgeführt werden können. Bei OpenWrt betrifft das unter anderem die LuCI-Oberfläche. ASLR steht für Address Space Layout Randomization und erschwert das Ausführen eingeschleusten Codes; die Entwickler nennen fehlendes ASLR auf Embedded-Plattformen als Faktor, der das Risiko erhöht.
Welche Maßnahmen OpenWrt nennt
Die Entwickler haben mehrere Komponenten aktualisiert oder gepatcht. Dazu gehören Korrekturen für LuCI, ein Sicherheitspatch für dropbear-SSH sowie aktualisierte Versionen von OpenSSL 3.0.21, dnsmasq 2.93 und dem Linux-Kernel 6.6.144. Nach der Versionsankündigung schließen diese Updates mehrere Sicherheitslücken. Wer OpenWrt einsetzt, sollte die aktualisierten Firmware-Builds auf die Geräte in den eigenen Netzen verteilen. Teil von The Circle werden können Errichter, die sich mit solchen technischen Praxisfragen regelmäßig beschäftigen.
Warum das zeitnah wichtig ist
OpenWrt ist als Router-Betriebssystem oftmals aus dem Internet erreichbar. Deshalb empfehlen die Entwickler, die Updates zeitnah anzuwenden. Das Ziel ist, die Angriffsfläche für bösartige Akteure zu minimieren. In der Meldung werden mehrere Lücken als kritisch oder hoch eingestuft, darunter CVE-2026-53921 mit CVSS 9.8 und CVE-2026-62948 mit CVSS 9.6. Auch weitere Stored-Cross-Site-Scripting-Lücken in LuCI werden als hoch eingestuft.
Unterm Strich geht es bei OpenWrt in dieser Version nicht um Komfort, sondern um konkrete Risikoreduktion. Wer das System in Netzen betreibt, sollte die neuen Builds prüfen und ausrollen. Offene Fragen an die Praxis bleiben vor allem, wie schnell sich die Updates in laufende Umgebungen bringen lassen. Mehr dazu und zum Austausch mit anderen Errichtern gibt es bei Veranstaltungen.
Wenn Sie sich mit anderen inhabergeführten Betrieben über technische Updates, Betrieb und Umsetzung austauschen wollen, ist The Circle of Security Professionals der passende Rahmen. Das Netzwerk richtet sich an Errichter mit technischem Außendienst, die Kooperation und Offenheit schätzen.
Quelle: Heise