Oray Pugongying X5 Pro: CRLF-Injection in Dnsmasq über DHCP-Lease-Zeit
Zusammenfassung
Die Komponente Dnsmasq des Oray Pugongying X5 Pro Routers mit Firmware 7.6.1 neutralisiert das Argument rent_time nicht korrekt, wodurch eine CRLF-Injection möglich ist. Ein Angreifer, der das Management-Passwort kennt, kann zusätzliche Dnsmasq-Direktiven einschleusen, zum Beispiel um DNS-Antworten für gewählte Namen zu verändern. Ein öffentlicher Proof of Concept existiert, und der Hersteller hat auf die frühzeitige Offenlegung nicht reagiert.
Betroffen
- Oray Pugongying X5 Pro (auch als PgyBox X5 Pro Router bezeichnet), Firmware 7.6.1
- Frühere Firmware-Versionen: Unbekannt, möglicherweise betroffen, aber nicht bestätigt
Behoben in
Unbekannt. Es ist keine korrigierte Firmware-Version bekannt.
Umgehung
- Internetzugriff auf die Web- und Management-Oberfläche des Routers entfernen und auf vertrauenswürdige LAN-Adressen beschränken
- Management-Passwort durch ein eindeutiges, starkes Passwort ersetzen
- DHCP- und DNS-Einstellungen auf unerwartete Einträge prüfen, zum Beispiel unbekannte Adressüberschreibungen
- Ein WAF oder IPS kann eingeschränkt erkennen, ist für dieses Gerät aber eine schwache Schutzmassnahme
Ausnutzung
- Öffentlicher Exploit: ja. VulDB meldet technische Details und einen öffentlichen Exploit; der Notion-Bericht enthält einen Proof of Concept.
- In freier Wildbahn: Laut OffSeq ist keine Ausnutzung bekannt; die Formulierung zu Honeypot-Beobachtungen ist mehrdeutig.
- CISA KEV: Kein Eintrag in der Recherche gefunden; nicht direkt geprüft.
Unsere Empfehlung
- Alle Oray X5 Pro Geräte inventarisieren und die Firmware-Version bestätigen
- Management-Zugriff aus dem Internet entfernen und auf vertrauenswürdige Adressen beschränken
- Admin-Passwort durch ein eindeutiges, starkes Passwort ersetzen
- DNS- und DHCP-Einstellungen auf unerwartete Einträge prüfen
- Oray auf ein Update überwachen; Gerät ersetzen, wenn es aus dem Internet erreichbar ist und keine Korrektur erscheint
- Verwandte CVE-2026-116237 erlaubt demselben Passwortinhaber die Ausführung eines Root-Skripts und sollte höher priorisiert werden
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Notion advisory: Dnsmasq directive injection via DHCP lease time app.notion.com
- VulDB: CVE-2026-116233 vuldb.com
- VulDB: vulnerability 426282 vuldb.com
- VulDB: submission 1005081 vuldb.com
- OpenCVE: CVE-2026-116233 app.opencve.io
- OffSeq Radar: CVE-2026-116233 radar.offseq.com
- Strix: CVE-2026-116233 www.strix.ai
- Notion advisory: related CVE-2026-116237 (root script) app.notion.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 10:10.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.