Digi Accelerated Linux (DAL OS): Injection von Betriebssystembefehlen in Web-Administration

Zusammenfassung

Digi Accelerated Linux (DAL OS) auf verschiedenen Digi-Routern, Console Servern, Hubs und XBee-Gateways enthält eine Schwachstelle zur Injection von Betriebssystembefehlen in der Web-Administrationsoberfläche. Ein nicht authentifizierter Angreifer, der eine präparierte HTTP-POST-Anfrage an diese Oberfläche senden kann, kann beliebige Betriebssystembefehle mit Root-Rechten ausführen. Der CVSS-4.0-Wert beträgt 9.4 (kritisch), und der Angriff setzt Netzwerkzugriff auf die Web-Oberfläche voraus, die standardmässig auf das lokale LAN beschränkt ist.

Betroffen

• IX, EX, TX, Connect IT, AnywhereUSB Plus, Connect EZ, XBee Hive Gateway und XBee Hive Border Router for Wi-SUN: DAL OS 21.8.24.139 bis 26.7.90.14 (gemäss CVE-Eintrag)
• Digi 54xx: DAL OS bis 21.8.24.139 (gemäss CVE-Eintrag)
• Digi 63xx: DAL OS 21.8.24.139 bis 22.5.50.66 (gemäss CVE-Eintrag)
• Digi IX14: DAL OS 21.8.24.139 bis 22.5.50.62 (gemäss CVE-Eintrag)
• Digi LR54: DAL OS 21.8.24.139 bis 23.12.1.56 (gemäss CVE-Eintrag)

Behoben in

• Korrigierte Versionen werden nur von Sekundärquellen gemeldet und müssen im Advisory von Digi bestätigt werden:
• 26.2.148.166 LTS oder 26.7.90.15 für die meisten Modelle der Familien IX, EX, TX und Connect IT
• 26.2.148.166 LTS für AnywhereUSB Plus und Connect EZ
• 26.9.10.28 für XBee-Hive-Gateways und IX15
• 54xx, 63xx, IX14 und LR54: End of Life, keine Korrektur zu erwarten
• TX40 und EX50: Unbekannt, kein bestätigter korrigierter Build gefunden

Umgehung

• Den Webserver auf Geräten deaktivieren, die nicht aktiv konfiguriert werden (Herstellerhinweis im CVE-Eintrag).
• Den Zugriff auf die Web-Oberfläche auf das lokale LAN beschränken und Port-Weiterleitungen, VPN-Routen oder WAN-Exposition entfernen.
• Digi-Remote-Manager-Vorlagen prüfen, da sie den Webdienst wieder aktivieren können, und diese anpassen.
• Modelle im End of Life (54xx, 63xx, IX14, LR54) ersetzen oder isolieren, falls keine Korrektur verfügbar ist.

Ausnutzung

• Bei der Veröffentlichung wurde kein öffentlicher Proof-of-Concept gemeldet.
• Es wurde keine bestätigte Ausnutzung in freier Wildbahn gefunden.
• CISA-SSVC-Bewertung: Ausnutzung keine, nicht automatisierbar, totale technische Auswirkung.
• Nicht im CISA-KEV-Katalog aufgeführt (gemäss OpenCVE).

Unsere Empfehlung

• Alle Digi-DAL-OS-Geräte und deren Firmware-Versionen inventarisieren und Modelle im End of Life identifizieren.
• Prüfen, ob die Web-Oberfläche ausserhalb des lokalen LAN erreichbar ist, und diesen Zugang sofort schliessen.
• Den Webserver auf Geräten deaktivieren, die nicht konfiguriert werden, und Remote-Manager-Vorlagen überprüfen.
• Die korrigierte Firmware modellspezifisch einspielen, sobald sie im Advisory von Digi bestätigt ist; den Status von TX40 und EX50 beim Digi-Support erfragen.
• Administrator-Passwörter auf gepatchten Geräten und auf allen Systemen, die dasselbe Passwort verwendet haben, ändern.
• Die Sicherheitsseite von Digi und die Meldungen der CISA auf Änderungen bei der Ausnutzung überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Digi Security Center www.digi.com
• OpenCVE: CVE-2026-75937 app.opencve.io
• Version matrix across DAL OS (dev.to) dev.to
• Why a management interface decides the risk (dev.to) dev.to
• Patch planning for Digi DAL OS fleets (dev.to) dev.to
• Digi DAL OS vulnerability (SecurityOnline) securityonline.info
• Digi releases DAL OS firmware (5GStore) 5gstore.com
• OffSeq Radar: CVE-2026-75937 radar.offseq.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 00:14.