Zephyr WireGuard: Umleitung des Peer-Endpunkts über unauthentifizierte Transportdaten
Zusammenfassung
Der WireGuard-VPN-Dienst im Zephyr RTOS überschreibt den Peer-Endpunkt anhand eines nicht authentifizierten Transportdaten-Datagramms, dessen Receiver-Index zu keiner Session passt. Ein Angreifer ausserhalb des Pfads, der ein einzelnes UDP-Datagramm an den WireGuard-Port (Standard 51820) senden kann, kann alle folgenden Handshakes und Datenpakete an eine Adresse seiner Wahl umleiten. Der Tunnel wird dadurch dauerhaft unbrauchbar, und der Angreifer kann sich in den Datenpfad einschalten, Metadaten des Verkehrs beobachten und Pakete verwerfen; die Ende-zu-Ende-Verschlüsselung verhindert jedoch Entschlüsselung und Fälschung.
Betroffen
- Zephyr-Versionen >= 4.4.0 bis <= 4.4.2
- Komponente: subsys/net/lib/wireguard (CONFIG_WIREGUARD, experimentell, standardmässig deaktiviert)
Behoben in
- Auf main behoben, geplant für Zephyr 4.5.0
- Rückportierung auf v4.4 vorgeschlagen (PR 117179); erste behobene 4.4.x-Version unbekannt
Umgehung
- CONFIG_WIREGUARD in Firmware-Builds deaktivieren, die es nicht benötigen
- UDP 51820 am Netzwerkrand auf bekannte Peer-Adressen beschränken
Ausnutzung
- Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden
- Technische Details sind öffentlich; in den geprüften Quellen ist kein Exploit-Code veröffentlicht
Unsere Empfehlung
- Prüfen, ob Zephyr-basierte Geräte in Ihrer Umgebung WireGuard verwenden
- Falls WireGuard nicht benötigt wird, CONFIG_WIREGUARD in der Firmware deaktivieren
- Falls benötigt, UDP 51820 auf bekannte Peer-IP-Adressen beschränken
- Bei Geräteherstellern Firmware mit gepatchter Zephyr-Version anfordern
- Auf unerwartete Endpunktänderungen und Tunnel achten, die keine Handshakes mehr abschliessen
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Zephyr security advisory GHSA-w8h4-r8m3-rf5j github.com
- Zephyr fix commit cbaaf3e github.com
- Zephyr vulnerability overview docs.zephyrproject.org
- Ubuntu security CVE-2026-79977 ubuntu.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 15:06.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.