iStoreOS: Remote Code Execution über task_id in tasks-lib.lua
Zusammenfassung
Die iStoreOS-Firmware bis Version 24.10.7 enthält einen Fehler in tasks-lib.lua, der einem entfernten Angreifer erlaubt, über den Parameter task_id beliebigen Code auf dem Gerät auszuführen. Der CVE-Eintrag ordnet die Schwachstelle CWE-94 (Code Injection) mit einem CVSS-3.1-Wert von 9.8 zu. Der NVD-Text lässt offen, ob eine Authentifizierung nötig ist; ein Herstellerhinweis oder eine bestätigte Korrektur wurde nicht gefunden, daher sind die genauen Voraussetzungen nicht verifiziert.
Betroffen
- iStoreOS istoreos-24.10.7 und früher (CVE-Eintrag)
- Drittquelle (VulDB): 24.10.0 bis 24.10.7
- Versionen vor 24.10.0, etwa 22.03: Unbekannt
Behoben in
- Herstellerkorrektur: Unbekannt.
- VulDB empfiehlt ein Update auf 24.10.8 oder neuer; dies ist keine Herstelleraussage und nicht verifiziert.
Umgehung
- Kein vom Hersteller bestätigter Workaround gefunden.
- Web-Oberfläche und Management-Dienste nicht aus dem Internet erreichbar machen.
- Zugriff auf vertrauenswürdige LAN-Adressen beschränken und prüfen, wer die Web-Oberfläche erreichen kann.
- Auf unerwartete Prozesse oder ausgehende Verbindungen achten.
Ausnutzung
- CISA SSVC: Exploitation-Status PoC, automatisierbar ja, technische Auswirkung total.
- VulDB: Zum letzten Update kein Exploit verfügbar.
- EPSS etwa 0.6 bis 0.8 Prozent; KEV-Status laut einer Drittquelle nicht gelistet (nicht direkt geprüft).
- Der referenzierte Pastebin-Eintrag und der PRISMI-Team-Bericht wurden nicht geprüft; Inhalt nicht verifiziert.
Unsere Empfehlung
- Alle iStoreOS-Geräte inklusive Version erfassen und prüfen, ob sie aus dem Internet erreichbar sind.
- Auf die neueste verfügbare Version des Herstellers aktualisieren und die Korrektur bestätigen, sobald der Hersteller sie veröffentlicht.
- Bis eine Korrektur bestätigt ist, Internetzugriff auf Admin-Oberflächen entfernen und den Zugriff auf vertrauenswürdige Adressen beschränken.
- Logs und Netzwerkverkehr auf unerwartete Prozesse oder Verbindungen überwachen.
- Geräte, die als Gateway für Geschäftsnetze dienen, haben hohe Priorität.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- CVE record details (VulDB) vuldb.com
- VulDB vulnerability 416000 vuldb.com
- Vulners VulnRichment CVE-2026-78797 vulners.com
- Strix CVE-2026-78797 www.strix.ai
- CVE Brief archive cvebrief.com
- iStoreOS 24.10.7 release discussion github.com
- PRISMI-Team VulnDisclos write-up github.com
- KoolCenter iStoreOS firmware download fw.koolcenter.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 20:04.
Referenzen der NVD (6)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.