Šta se desilo?

CVE-2026-57155 opisuje propust u OPNsense GeoIP importeru koji omogućava pisanje datoteka sa root privilegijama i dalju eskalaciju do izvršavanja koda. CVE zapis objavljen je 15. oktobra 2026, dok je proizvođačev advisory GHSA-wjqq-rfmm-v5h3 objavljen 1. jula. CVSS 3.1 ocena je 9,9.

Koga pogađa?

Prema advisory-ju, pogođene su odgovarajuće grane zaključno sa 26.1.10 i 26.4.1. Napadaču je potreban autentifikovan nalog sa dozvolom Firewall: Alias: Edit i mrežni pristup veb-interfejsu. To nije neautentifikovano preuzimanje svakog javno dostupnog OPNsense uređaja.

Kako se zaštititi?

Instalirajte 26.1.11 ili 26.4.1p1, odnosno novije podržano izdanje sa ispravkom, prema svojoj grani. Ograničite administrativni pristup na pouzdane mreže i dodeljujte uređivanje aliasa samo nalozima kojima je neophodno. Proverite da li GeoIP izvori odgovaraju odobrenoj konfiguraciji.

Tehnički detalji

Funkcije process_zip() i process_gzip() koriste neproverenu country_code vrednost iz GeoIP podataka pri formiranju izlazne putanje. To omogućava izlazak iz predviđenog direktorijuma i upis u drugi postojeći direktorijum, uz nastavak -IPv4 ili -IPv6. Objavljeni dokaz koncepta povezuje taj upis sa newsyslog konfiguracijom i podrazumevanim periodičnim root zadatkom radi izvršavanja komandi.

Zašto je važno?

Propust narušava granicu između delegirane dozvole za upravljanje aliasima i potpune kontrole uređaja. Javni dokaz koncepta potvrđuje demonstrirani način napada, ali u pregledanim izvorima nije potvrđena eksploatacija u stvarnim incidentima niti broj žrtava.

Preporuka Sajber Radara

Prioritetno ažurirajte pogođene uređaje i pregledajte delegirana ovlašćenja, GeoIP konfiguraciju i neuobičajene izmene sistemskih datoteka. Ako nađete pokazatelje napada, očuvajte evidencije i pokrenite odgovor na incident; sama nadogradnja ne uklanja nužno posledice ranije kompromitacije.