Oray Pugongying X5 Pro: CRLF-Injection in dnsmasq-Komponente
Zusammenfassung
Die Firmware 7.6.1 des Routers Oray Pugongying X5 Pro enthält eine CRLF-Injection-Schwachstelle in einem nicht näher bezeichneten Teil der mitgelieferten Komponente dnsmasq. Laut einer öffentlichen Beschreibung kann ein Angreifer mit dem Passwort des Verwaltungssystems eine dhcp-script-Direktive einschleusen und beim Verarbeiten eines DHCP-Leases ein Skript als Root ausführen. Ein Exploit wurde veröffentlicht, der Hersteller hat jedoch auf die frühzeitige Offenlegung nicht reagiert und eine Korrektur ist nicht bekannt.
Betroffen
- Oray Pugongying X5 Pro, Firmware 7.6.1 (einzige als betroffen aufgeführte Version)
Behoben in
Unbekannt. Es ist keine korrigierte Version bekannt.
Umgehung
- Das Verwaltungsinterface nicht ins Internet exponieren; auf das LAN oder ein Admin-VPN beschränken.
- Ein eindeutiges, starkes Verwaltungspasswort verwenden und es ändern, falls das Gerät aus unsicheren Netzen erreichbar war.
- DNS-, DHCP- und dnsmasq-bezogene Einstellungen auf unerwartete Zeilenumbrüche oder zusätzliche Direktiven prüfen.
Ausnutzung
- Öffentlicher Exploit bzw. Proof of Concept: von VulDB behauptet und bei Sploitus indexiert; nicht verifiziert.
- Voraussetzungen: Passwort des Verwaltungssystems erforderlich (CVSS Privileges Required: High).
- In freier Wildbahn: keine Hinweise gefunden; in den geprüften Quellen nicht als aktiv ausgenutzt gekennzeichnet.
Unsere Empfehlung
- Alle Oray Pugongying X5 Pro inventarisieren und die Firmware-Version prüfen.
- Verwaltungszugriff auf das LAN oder ein Admin-VPN beschränken und sicherstellen, dass kein Verwaltungsinterface aus dem Internet erreichbar ist.
- Das Administrationspasswort ändern, falls es Standardwert ist, mehrfach verwendet wird oder mit Dritten wie einem MSP geteilt wird.
- Herstellerangaben und VulDB auf einen Firmware-Fix überwachen; Isolation oder Ersatz planen, falls keiner erscheint.
- Die Router-Konfiguration auf unerwartete dnsmasq-Direktiven prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- VulDB CVE-2026-116237 vuldb.com
- VulDB vulnerability 426286 vuldb.com
- VulDB submission 1005085 vuldb.com
- Research write-up (Notion) app.notion.com
- Strix CVE-2026-116237 www.strix.ai
- HOL Guard CVE-2026-116237 hol.org
- Sploitus CVE-2026-116237 sploitus.com
- Baidu Baike Oray Pugongying X5 Pro baike.baidu.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 10:07.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.