h-ui: Command Injection in der Verwaltungs-API über das Feld listen
Zusammenfassung
h-ui, ein Webpanel zur Verwaltung von Hysteria2, übergibt das Konfigurationsfeld listen ungeprüft an nftables-/iptables-Regelzeichenketten, die mit bash -c als root ausgeführt werden. Ein authentifizierter Administrator, der Shell-Metazeichen übermittelt, kann beliebige Betriebssystembefehle mit root-Rechten ausführen, wodurch der gesamte Server kompromittiert werden kann. Der CVSS-3.1-Vektor (9.1, Critical) geht von keinen benötigten Rechten aus, während die Beschreibung Administratorzugangsdaten voraussetzt; das reale Risiko hängt daher davon ab, wie stark das Panel exponiert ist und wie stark die Administratorzugangsdaten sind.
Betroffen
- h-ui bis und mit v0.0.25 (CNA-Eintrag: 0.0.25)
- Der OSV-Versionsbereich scheint einen Datenfehler zu enthalten und sollte anhand der Repository-Historie überprüft werden
Behoben in
Unbekannt. Es ist keine korrigierte Version oder kein Patch veröffentlicht, die bzw. der verifiziert werden konnte.
Umgehung
- Die Verwaltungsoberfläche von h-ui nicht aus dem Internet erreichbar machen; den Zugriff auf ein VPN, ein Management-Netz oder eine Quell-IP-Allowlist beschränken
- Ein eindeutiges, starkes Administratorpasswort verwenden und nicht benötigte Administratorkonten entfernen
- Falls die Umgebung es erlaubt, MFA über einen Reverse Proxy ergänzen
- Bestehende listen-Werte auf unerwartete Shell-Zeichen prüfen, ohne Payloads zu testen
Ausnutzung
- CISA SSVC: Exploitation none, Automatable yes, Technical Impact total
- Kein öffentlicher Proof of Concept und keine Hinweise auf Ausnutzung gefunden; nicht im CISA-KEV-Katalog verifiziert
Unsere Empfehlung
- Falls h-ui auf einem aus dem Internet erreichbaren Server läuft, den Zugriff jetzt einschränken oder den Dienst bis zu einer korrigierten Version offline nehmen
- Die aktuelle Release-Seite auf eine Korrektur prüfen und sofort aktualisieren, sobald eine verfügbar ist
- Auf unerwartete nftables-/iptables-Regeländerungen, unbekannte Kindprozesse des h-ui-Dienstes und ungewöhnliche Administratoranmeldungen achten
- Bei vermuteter Exponierung oder Kompromittierung den Host neu aufsetzen, da root-Zugriff den gesamten Server kompromittiert
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- OSV: CVE-2026-107202 osv.dev
- OpenCVE: CVE-2026-107202 app.opencve.io
- VulDB: CVE-2026-107202 vuldb.com
- Positive Technologies: PT-2026-107538 vulners.com
- Vulners (Mend): CVE-2026-107202 vulners.com
- h-ui GitHub repository github.com
- h-ui releases github.com
- h-ui issue 6 github.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 07:18.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.