Ein interessanter Artikel erschien gestern Nachmittag bei Hardwareluxx. Wegen der möglichen Auswirkungen möchte ich ihn auch hier teilen.
Durch eine kürzlich bekannt gewordene Sicherheitslücke im IPv4-TCP-Stack (kein IPv6) des Linux-Kernels (CVE-2026-98432) können Angreifer unter bestimmten Voraussetzungen einen Router ohne vorherige Anmeldung kompromittieren. Besonders gefährdet sind Router mit verwundbarem Linux-Kernel, auf denen TCP-Dienste wie beispielsweise die HTTPS-Fernverwaltung direkt aus dem Internet erreichbar sind.
Das Brisante daran: Die Schwachstelle kann bereits beim Aufbau einer TCP-Verbindung ausgenutzt werden. Ein Passwort ist dafür nicht erforderlich.
- VPN?
WireGuard und die üblichen IPsec-VPN-Verbindungen sind von der Sicherheitslücke nicht direkt betroffen, da sie kein TCP verwenden. Wer den Fernzugriff auf seinen Router ausschließlich über VPN ermöglicht, reduziert das Risiko erheblich. Die eigentliche Sicherheitslücke wird dadurch allerdings nicht geschlossen. Dafür ist weiterhin ein Firmware-Update notwendig.
- Fritzbox ?
Früher habe ich bei meiner FB auch den Fernzugriff über MyFRITZ genutzt. Hier wäre ich aktuell ebenfalls vorsichtig, zumindest wenn darüber die Benutzeroberfläche der FB direkt aus dem Internet erreichbar ist. Es ist abzuwarten, ob AVM sich äußert und ggf. patcht.
Jemand kommentierte das im Artikel recht treffend:
Und für alle Großeltern wo das Enkelkind den Fernzugriff auf der Fritte aktiviert hat, oops.
- Unifi ?
Für meine neue Unifi Hardware wurde gestern ein Patch angeboten/installiert. Ich habe mich echt gefreut wie schnell die sind.
- HA und Nabu Casa?
Auch hier ist man schnell.
Ich denke eher weniger Risiko: Nabu Casa benötigt keine offenen Ports am Router, da HA selbst eine Verbindung zu den Cloud-Servern aufbaut. Dadurch ist HA nicht direkt aus dem Internet über TCP erreichbar. Als Verwender von MiniPC wurde die Lücke mit Home Assistant OS 18.4 und für Raspi gibt es sie nur als Vorabversion 18.5.rc1
- Proxmox
Hier wurde die Sicherheitslücke bereits mit Kernel 7.0.14-25-pve geschlossen. Wer die aktuellen Updates installiert hat und diesen oder einen neueren Kernel verwendet, ist geschützt.
uname -r zeigt den aktuellen Stand