PingTools Network Utilities: OS-Command-Injection im Watcher-ICMP-Host
Zusammenfassung
PingTools Network Utilities 4.64 für Android übergibt das Feld Host eines Watcher-ICMP-Dienstes unmaskiert an eine Shell (sh -c). Ein lokaler Angreifer, der einen Watcher-Dienst erstellen oder ändern kann, kann Shell-Syntax einschleusen und beliebige Befehle mit der UID der App und deren Android-Berechtigungen ausführen. Der CNA bewertet den CVSS-4.0-Basiswert mit 8.6, VulDB mit 6.3, und die NVD-Analyse ist noch ausstehend.
Betroffen
- StreamSoft PingTools Network Utilities 4.64 (Free-Edition, Android-Paket ua.com.streamsoft.pingtools)
- Ob andere Versionen betroffen sind: Unbekannt.
Behoben in
Unbekannt. In den geprüften Quellen wurde keine korrigierte Version veröffentlicht.
Umgehung
- Keine nicht vertrauenswürdigen Watcher-Backups importieren.
- Keine nicht vertrauenswürdigen Werte in die Felder Host der Watcher-ICMP-Dienste eingeben.
- Bestehende Watcher-Einträge auf unerwartete oder fehlerhafte Host-Werte prüfen.
- Die Android-Berechtigungen der App auf das Nötigste beschränken.
- Eine Workaround-Massnahme des Herstellers ist nicht bekannt.
Ausnutzung
- Eine Ausnutzung in freier Wildbahn ist nicht bekannt.
- CISA SSVC: Exploitation none, Automatable no.
- Nicht im CISA-KEV-Katalog aufgeführt.
- Ein öffentlicher Proof of Concept wird von einem Aggregator behauptet, konnte aber nicht verifiziert werden.
Unsere Empfehlung
- Prüfen, ob verwaltete Android-Smartphones oder Tablets PingTools installiert haben.
- Sobald eine korrigierte Version bestätigt ist, die App über den Google Play Store aktualisieren oder deinstallieren, falls sie nicht benötigt wird.
- Mit Mobile Device Management festlegen, wer die App installieren oder konfigurieren darf.
- Hersteller und Fluid Attacks auf eine korrigierte Version sowie die NVD-Analyse im Auge behalten.
- Priorität: gering bis mittel, da der Angriff lokal erfolgt und auf die Sandbox der App beschränkt ist.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Fluid Attacks advisory fluidattacks.com
- Google Play Store listing play.google.com
- VulDB entry vuldb.com
- OpenCVE CVE-2026-103038 app.opencve.io
- Strix CVE-2026-103038 www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 07:46.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.