Iskratel Innbox GPON ONT: Nicht authentifizierte OS-Command-Injection über login.xgi
Zusammenfassung
Der Webendpunkt login.xgi von Iskratel Innbox GPON ONT-Geräten übergibt den Parameter CLI ohne Authentifizierung direkt an eine System-Shell. Ein nicht authentifizierter Angreifer im Netzwerk kann beliebige Befehle als root ausführen, gespeicherte Zugangsdaten auslesen, Konfiguration und Firmware verändern und das Gerät als dauerhaften Zugangspunkt nutzen. Ein öffentlicher Proof of Concept ist verfügbar.
Betroffen
- Iskratel Innbox GPON ONT-Geräte (CNA listet alle Versionen als betroffen)
- Nicht vom Hersteller bestätigt: Das PoC-Repository nennt die Modelle G74 und M84 mit Firmware Linux 3.18.21 (Build vom August 2023)
Behoben in
Unbekannt. Keine Herstellerwarnung und keine korrigierte Firmware-Version gefunden.
Umgehung
- Zugriff auf die Web-Oberfläche des ONT aus dem WAN und aus unvertrauten Netzwerken blockieren (Ports 80/443)
- Management-Zugriff auf den ISP beschränken
- Beim ISP nachfragen, ob ein Firmware-Fix oder ein Geräteersatz verfügbar ist
Ausnutzung
- Öffentlicher Proof of Concept auf GitHub verfügbar (exploit.py)
- CISA SSVC: Exploitation-Status poc, automatisierbar ja, technische Auswirkung total
- Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden
- EPSS 0.02788
Unsere Empfehlung
- Alle Innbox ONTs im Kundenbestand erfassen und die Besitzverhältnisse (ISP oder Kunde) klären
- Prüfen, dass die Management-Oberfläche des ONT nicht aus dem WAN oder aus Gäste-Netzwerken erreichbar ist
- Beim ISP den Firmware-Status und einen Zeitplan für einen Fix erfragen
- Webprotokolle auf Anfragen an /login.xgi überwachen
- Den Iskratel PSIRT auf eine Herstellerwarnung überwachen
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub: BlackHatExploitation/innbox_root (Proof of Concept) github.com
- VulDB: CVE-2026-105110 vuldb.com
- Strix: CVE-2026-105110 www.strix.ai
- PSIRT: CVE-2026-105110 psirt.com
- TheHackerWire: CVE-2026-105110 write-up www.thehackerwire.com
- Sploitus: exploit entry sploitus.com
- Vulners: CVE-2026-105110 (EPSS) vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 03:01.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.