apcupsd CGI: Stack-based Buffer Overflow in getupsvar()
Zusammenfassung
Die CGI-Statusseiten der USV-Überwachungssoftware apcupsd (upsstats.cgi, multimon.cgi, upsfstats.cgi) enthalten einen Stack-based Buffer Overflow in der Funktion getupsvar() in src/cgi/upsfetch.c. Die Schwachstelle betrifft apcupsd bis einschliesslich 3.14.14. Ein nicht authentifizierter Angreifer, der diese CGI-Seiten erreichen kann, könnte den Webdienst zum Absturz bringen oder möglicherweise Code ausführen, da die Schwachstelle für Vertraulichkeit, Integrität und Verfügbarkeit als hoch eingestuft ist. Das Risiko besteht nur dort, wo die CGI-Seiten installiert und aus unvertrauenswürdigen Netzen erreichbar sind.
Betroffen
- apcupsd 0 bis einschliesslich 3.14.14
- Komponenten: upsstats.cgi, multimon.cgi, upsfstats.cgi (src/cgi/upsfetch.c)
- Distributionspakete: apcupsd-cgi (Ubuntu); Debian bookworm und trixie als verwundbar gelistet
Behoben in
Unbekannt. Der CVE-Eintrag weist auf eine Version neuer als 3.14.14 hin; eine korrigierte Versionsnummer oder eine Herstellerwarnung wurde nicht gefunden.
Umgehung
- CGI-Skripte von apcupsd entfernen oder deaktivieren, falls sie nicht benötigt werden.
- CGI-Seiten nicht im Internet exponieren; den Zugriff auf das LAN oder ein VPN beschränken.
- Webserver-Authentifizierung oder IP-Allow-Listing vor den CGI-Seiten einrichten.
Ausnutzung
- CISA SSVC: Ausnutzung keine, nicht automatisierbar, technische Auswirkung total.
- Nicht in KEV gelistet.
- Kein öffentlicher Proof of Concept und keine Berichte über Ausnutzung gefunden.
- Eine verwandte Schwachstelle (CVE-2026-15544, anderes Produkt) hat einen öffentlich bekannt gegebenen Exploit.
Unsere Empfehlung
- Prüfen, ob apcupsd-CGI-Skripte installiert und erreichbar sind, z. B. auf Webservern oder USV-Verwaltungshosts.
- Jede aus dem Internet erreichbare CGI-Statusseite sofort einschränken oder entfernen.
- apcupsd auf eine Version neuer als 3.14.14 aktualisieren, sobald Ihre Distribution oder das Upstream-Projekt eine Korrektur veröffentlicht.
- Security-Tracker Ihrer Distribution und das Upstream-Projekt auf ein korrigiertes Build überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Red Hat Bugzilla 2493140 bugzilla.redhat.com
- upsfetch.c at 224d19d (GitHub) github.com
- apcupsd project (SourceForge) sourceforge.net
- OpenCVE CVE-2026-103432 app.opencve.io
- Ubuntu CVE-2026-103432 ubuntu.com
- Debian Security Tracker apcupsd security-tracker.debian.org
- OSV UBUNTU-CVE-2026-103432 osv.dev
- Nixpkgs security issue apcupsd github.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 21:07.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.