Kritische DHCPv6-Lücke in OpenWrt
OpenWrt hat Version 24.10.8 veröffentlicht, um eine kritische Sicherheitslücke im DHCPv6-Stack zu beheben. Die Schwachstelle (CVE-2026-53921) erhält eine CVSS-Bewertung von 9,8 und stellt eine ernsthafte Bedrohung für Router und Netzwerkgeräte dar, die auf OpenWrt basieren.
Die Sicherheitslücke im Detail
Die Schwachstelle befindet sich in odhcpd, dem DHCPv6-Server-Daemon von OpenWrt. Ein unauthentifizierter Angreifer, der Zugriff auf den DHCPv6-Server hat, kann durch ein speziell konstruiertes DHCPv6-Paket einen Stack-Buffer-Overflow auslösen. Dies ermöglicht die Ausführung von beliebigem Code mit Root-Privilegien – der höchsten Ebene der Systemzugriffe.
Das Besondere an dieser Lücke: Der DHCPv6-Dienst ist standardmäßig aktiviert. Das bedeutet, dass betroffene Geräte ohne zusätzliche Konfiguration anfällig sind.
Auswirkungen und Bedrohungsszenario
Die Kombination aus hohem Schweregrad, fehlender Authentifizierung und Standardaktivierung macht dies zu einer besonders gefährlichen Lücke. Angreifer müssen nicht einmal Benutzerkonten kompromittieren – es reicht, dass sie eine speziell präparierte DHCPv6-Anfrage senden können, die das Gerät erreichbar ist.
In praktischen Szenarien könnte ein Angreifer:
- Volle Kontrolle über den Router erlangen
- Netzwerkverkehr abfangen oder manipulieren
- Malware installieren und persistent machen
- Das Gerät für weitere Angriffe als Sprungpunkt nutzen
Umgang mit der Lücke
OpenWrt-Benutzer sollten unverzüglich auf Version 24.10.8 oder höher upgraden. Parallel zur Lücke wurden weitere remote-triggerable Flaws in Standard-Netzwerkdiensten geschlossen.
Für Netzwerkadministratoren empfiehlt sich:
- Sofortiges Update: Version 24.10.8 auf allen betroffenen Geräten einspielen
- Netzwerk-Segmentierung: DHCPv6-Traffic entsprechend filtern, falls ein schnelles Update nicht möglich ist
- Monitoring: Logs auf verdächtige DHCPv6-Aktivitäten prüfen
Fazit
Diese Lücke unterstreicht die Wichtigkeit von regelmäßigen Security-Updates bei Netzwerk-Infrastruktur. OpenWrt-basierte Geräte sind weit verbreitet – ein schneller Patch-Rollout ist essentiell, um großflächige Kompromittierungen zu verhindern.