CVE-2026-57154
OPNsense: Configuration line injection via multiple GUI text fields
CVSS 3.1Medium
8.1/ 10.0
Опубликовано
Обновлено
В атаках
Не зафиксировано
Публичный PoC
Отсутствует
Анализ подготовлен:CVE Futuretools Threat Intelligence
Верификация: MITRE CVE List · CISA KEV · NIST NVD
ОФИЦИАЛЬНЫЙ ПАТЧ НЕ ОПУБЛИКОВАН
Обновите OPNsense до версии 26.1.11 или 26.4.1p1.
01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ
Множественные текстовые поля веб-интерфейса OPNsense уязвимы к инъекции строк конфигурации через символы переноса строки. Это позволяет внедрять произвольные директивы в привилегированные конфигурационные файлы.
02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ
Аутентифицированные пользователи с делегированным доступом могут передавать символы CR или LF в однострочные поля веб-интерфейса или API. Внедрение директив подтверждено в конфигурациях Monit, Dnsmasq, OpenVPN, DHCPv6, Unbound, IPsec, NTP, PPP/MPD, файрвола, sudo и системных настроек; через поля Monit продемонстрировано выполнение команд с правами root.
03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ
Выполнение команд с правами root через конфигурацию Monit, изменение поведения сервисов сверх делегированных прав, создание файлов на стороне сервиса, обход разграничения доступа RBAC или отказ в обслуживании (DoS). Для Dnsmasq выполнение произвольных команд оболочки не подтверждено.
04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ
Точные диапазоны версий не зафиксированы в источниках
05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (3)
06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК
Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:
Библиографическая ссылка (Plain text)
CVE Futuretools (2026). Анализ уязвимости CVE-2026-57154: OPNsense: Configuration line injection via multiple GUI text fields. URL: https://cve.futuretools.ru/cve/CVE-2026-57154
BibTeX формат (LaTeX)
@misc{cve_futuretools_cve_2026_57154,
title = {{CVE-2026-57154: OPNsense: Configuration line injection via multiple GUI text fields}},
author = {{CVE Futuretools}},
year = {2026},
howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-57154}},
note = {Оперативный инженерный анализ киберугроз}
}