Froxlor: Zeilenumbruch-Injektion in Ftps.add ermöglicht lokale Rechteausweitung

Zusammenfassung

Froxlor-Versionen 0.10.0 bis 2.3.13 validieren den Parameter additional_members der Ftps.add-API nicht. Ein authentifizierter Kunde kann Zeilenumbruch-Zeichen einfügen, und der Cron-Job REBUILD_NSSUSERS schreibt diese unverändert in die root-eigene Gruppendatei /var/lib/extrausers/group. Ein Angreifer kann dadurch beliebige Gruppeneinträge erstellen, zum Beispiel mit GID 0, und auf dem Host erhöhte lokale Rechte erlangen. Der Angriff erfordert einen gültigen Kundenlogin im Panel, aber keine Administratorrechte.

Betroffen

• Froxlor 0.10.0 bis vor 2.3.14 (bis und mit 2.3.13)
• Standardkonfiguration (nssextrausers=1, FTP-Funktionen für Kunden nicht ausgeblendet)

Behoben in

• Behoben in Froxlor 2.3.14

Umgehung

• Kein vom Hersteller veröffentlichter Workaround.
• Die Einschränkung des Kundenzugriffs auf die FTP-Funktionen und die regelmässige Kontrolle der Gruppendatei sind nicht vom Hersteller bestätigt, verringern das Risiko jedoch.

Ausnutzung

• Keine bestätigte Ausnutzung in freier Wildbahn; laut Aggregatoren nicht im CISA KEV aufgeführt.
• Die CISA-SSVC-Bewertung im CVE-Eintrag führt die Ausnutzung als "poc" (öffentlicher Proof of Concept) und die Automatisierbarkeit als "no".
• Ein öffentlicher Proof of Concept wird gemeldet, ist aber nicht unabhängig verifiziert.

Unsere Empfehlung

• Alle Froxlor-Instanzen auf Version 2.3.14 oder neuer aktualisieren.
• /var/lib/extrausers/group auf unerwartete Einträge prüfen, insbesondere Einträge mit GID 0 oder unbekannten Mitgliedern.
• Prüfen, welche Kundenkonten Zugriff auf das Panel haben, und nicht benötigte Konten entfernen.
• Gruppendatei und Systemprotokolle auf Änderungen an privilegierten Gruppen überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-v44g-c58r-37w2 github.com
• VulnCheck Advisory: Froxlor 0.10.0 before 2.3.14 Newline Injection www.vulncheck.com
• OSV: CVE-2026-109961 osv.dev
• VulDB entry 417689 vuldb.com
• Froxlor API guide: Ftps commands docs.froxlor.org

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 12:34.