OPNsense core: Root Remote Code Execution durch beliebiges Schreiben von Dateien im GeoIP-Alias-Importer

Zusammenfassung

OPNsense-Versionen vor 26.1.11 validieren den aus den GeoIP-Aliasdaten gelesenen Ländercode beim Schreiben von Ausgabedateien nicht. Ein Benutzer mit dem Recht Firewall: Alias: Edit kann die GeoIP-Quelle auf ein vom Angreifer kontrolliertes Archiv verweisen lassen und dadurch Inhalte als root an beliebige Orte schreiben. Mit einer manipulierten newsyslog-Konfiguration und einer übergrossen Logdatei kann anschliessend der standardmässige stündliche root-Cronjob Befehle ausführen, was zur vollständigen Kompromittierung der Firewall führen kann.

Betroffen

• OPNsense core Versionen vor 26.1.11

Behoben in

• Behoben in OPNsense 26.1.11

Umgehung

• Unbekannt. Das Security Advisory des Herstellers nennt keinen Workaround; das Einspielen des Updates ist die Behebung.

Ausnutzung

• Ein öffentlicher Proof of Concept wurde veröffentlicht.
• Die Ausnutzung erfordert einen authentifizierten Benutzer mit dem Recht Firewall: Alias: Edit.
• CISA SSVC: Ausnutzungsstatus poc, automatisierbar: nein, technische Auswirkung: total.
• Meldungen über aktive Ausnutzung sind nicht verifiziert; ein Eintrag im CISA-KEV-Katalog konnte nicht bestätigt werden.

Unsere Empfehlung

• OPNsense vorrangig auf Version 26.1.11 oder neuer aktualisieren.
• Alle Konten mit dem Recht Firewall: Alias: Edit prüfen und auf vertrauenswürdige Administratoren beschränken.
• Den Zugriff auf die Weboberfläche auf interne Netze oder VPN beschränken.
• Die URL-Einstellungen der GeoIP-Aliase und das GeoIP-Verzeichnis auf unerwartete Dateien mit den Suffixen -IPv4 oder -IPv6 prüfen.
• Ungewöhnliche root-Aktivitäten und Änderungen an newsyslog überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.

• Proof of Concept auf GitHub (1 Repositories) iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).
  babyshen/CVE-2026-57155

Quellen der Recherche

• GitHub Security Advisory GHSA-wjqq-rfmm-v5h3 github.com
• Fix commit c46aced9c47d956167e294911113bc334fea5f48 github.com
• Fix commit e7fbfaa7f5e070da667e3f243da11fd3d4b731fa github.com
• TheHackerWire: CVE-2026-57155 analysis www.thehackerwire.com
• SecurityOnline: OPNsense root RCE PoC securityonline.info

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 15:18.