ASUSTOR ADM: HTTP-Header-Injection ermöglicht Dateizugriff ohne Authentifizierung
Zusammenfassung
Eine HTTP-Header-Injection in start-page-loader.cgi von ASUSTOR ADM erlaubt einem nicht authentifizierten Angreifer aus dem Netzwerk, beliebige Dateien auf dem NAS zu lesen. Der Angreifer sendet eine präparierte Anfrage mit eingeschleusten Headern über den Parameter state und missbraucht dabei den X-Sendfile-Mechanismus des Webservers. Es sind weder Anmeldung noch Benutzerinteraktion nötig, daher sind ADM-Geräte, die aus unsicheren Netzen erreichbar sind, gefährdet, und Dateien wie Konfigurationsdateien und Zugangsdaten könnten offengelegt werden.
Betroffen
- ADM 4.1.0 bis 4.3.3.RWC1
- ADM 5.0.0 bis 5.1.4.RL21
Behoben in
- ADM 5.1.4.RM62 oder neuer (5.x-Zweig)
- ADM 4.3.3.RY62 oder neuer (4.x-Zweig)
- Hinweis: Nach dem Upgrade auf ADM 4.3.3 ist kein Downgrade auf eine frühere Version mehr möglich.
Umgehung
- Unbekannt. Das Herstellerdokument enthält keine Workaround-Angaben.
- Zugriff auf die ADM-Weboberfläche per Firewall oder VPN einschränken und Fernzugriff aus dem WAN bis zum Patch deaktivieren.
- Ein Drittanbieter empfiehlt, X-Sendfile im Webserver zu deaktivieren oder einzuschränken; ob dies auf ADM konfigurierbar ist, konnte nicht bestätigt werden. Vor dem Einsatz testen.
Ausnutzung
- Laut Hersteller und den gefundenen Quellen ist keine Ausnutzung in freier Wildbahn und kein öffentlicher Proof-of-Concept bekannt.
- CISA SSVC: Ausnutzung keine, automatisierbar ja.
- Laut einem Drittanbieter-Tracker nicht im CISA KEV aufgeführt.
Unsere Empfehlung
- Alle ASUSTOR-NAS-Geräte und deren ADM-Versionen inventarisieren.
- Die Internetexposition der ADM-Weboberfläche sofort entfernen; VPN oder Allow-Listing verwenden.
- Auf ADM 5.1.4.RM62 oder 4.3.3.RY62 aktualisieren, nach Prüfung des Hinweises zum fehlenden Downgrade.
- Für Geräte, die ungepatcht aus dem Internet erreichbar waren, Logs und freigegebene Dateien prüfen und gespeicherte Zugangsdaten rotieren.
- Zusätzlich die ADM-Patchstände für CVE-2026-6644 prüfen, eine separate Command Injection im PPTP-VPN-Client.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- ASUSTOR Security Advisory AS-2026-022 www.asustor.com
- ASUSTOR Release Notes www.asustor.com
- ionix.io threat center: CVE-2026-105324 www.ionix.io
- VulDB: CVE-2026-105324 vuldb.com
- OpenCVE: CVE-2026-105324 app.opencve.io
- Strix: CVE-2026-105324 www.strix.ai
- SecurityOnline: ASUSTOR ADM vulnerability CVE-2026-105324 securityonline.info
- CCB Belgium advisory on ASUSTOR ADM ccb.belgium.be
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 04:51.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.