OPNsense: Gespeicherte XSS in OpenVPN-Statusansichten führt zu Root-Codeausführung

Zusammenfassung

Das Dashboard-Widget und die Statusansicht der OpenVPN-Verbindungen in OPNsense übernehmen den Client-Common-Name ohne ausreichende Kodierung in HTML-Attribute. Ein authentifizierter VPN-Benutzer, dessen Backend-Kontoname ein doppeltes Anführungszeichen enthält, kann Skript einschleusen, das in der Sitzung eines Administrators ausgeführt wird, sobald dieser das Dashboard oder die Statusseite öffnet und das eingeschleuste Ereignis auslöst. Laut Advisory ermöglicht dies das Lesen von config.xml, den Aufruf privilegierter APIs, das Zurücksetzen des Root-Passworts und die Ausführung von Befehlen als Root. Der Angriff setzt einen OpenVPN-Server mit Username-as-Common-Name und RADIUS- oder LDAP-Authentifizierung sowie ein Backend voraus, in dem ein Angreifer ein solches Konto anlegen kann.

Betroffen

• OPNsense Core vor 26.1.11 (Zweig 26.1.x, gemäss CVE-Eintrag und GHSA bis 26.1.10)
• OPNsense-Zweig 26.4.x bis 26.4.1 (gemäss GHSA-Advisory; nicht im CVE-Eintrag aufgeführt)
• Nur Installationen mit OpenVPN, Username-as-Common-Name und RADIUS- oder LDAP-Authentifizierung sind betroffen

Behoben in

• OPNsense 26.1.11 (Zweig 26.1.x)
• OPNsense 26.4.1p1 (Zweig 26.4.x, gemäss GHSA-Advisory)

Umgehung

• Unbekannt. Es wurde kein vom Hersteller dokumentierter Workaround gefunden; das Einspielen des Updates ist die Behebung.
• Übergangsweise: Zugriff auf die OPNsense-Weboberfläche einschränken und begrenzen, wer Konten im RADIUS- oder LDAP-Backend anlegen oder selbst registrieren kann.

Ausnutzung

• Das Hersteller-Advisory enthält eine Reproduktion auf OPNsense 26.1.9, demonstriert mit einer Mausbewegung über der Client-Zeile.
• Die CISA-SSVC-Bewertung lautet Exploitation: PoC, Automatable: no.
• Die Quellen widersprechen sich zum Ausnutzungsstatus; es wurde keine bestätigte Ausnutzung in freier Wildbahn gefunden, und ein Eintrag im CISA-KEV-Katalog konnte nicht bestätigt werden.

Unsere Empfehlung

• Alle OPNsense-Installationen mit exakter Version und Zweig erfassen.
• Je nach Zweig auf 26.1.11 oder 26.4.1p1 aktualisieren.
• Falls OpenVPN RADIUS oder LDAP mit Username-as-Common-Name nutzt, prüfen, wer in diesem Backend Konten anlegen kann.
• Den Zugriff auf die Weboberfläche auf Administratoren beschränken und vor dem Abschluss erneut den CISA-KEV-Katalog und das GHSA-Advisory prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-26cj-h9rj-g5pf github.com
• Fix commit 11180da (status.volt, OpenVPNClients.js) github.com
• Fix commit e7b2ac8 (status.volt, OpenVPNClients.js) github.com
• OpenCVE entry CVE-2026-58390 app.opencve.io
• Mend/Vulners CVE-2026-58390 (CVSS 4.0) vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 21:17.