Kritische Sicherheitslücke in Linksys-Routern – CVE-2025-34037

Eine neu veröffentlichte Schwachstelle mit der Kennung CVE-2025-34037 betrifft mehrere Modelle der E-Serie von Linksys-Routern. Über die Endpunkte /tmUnblock.cgi und /hndUnblock.cgi auf Port 8080 kann durch fehlerhafte Eingabeverarbeitung beim Parameter ttcp_ip beliebiger Shell-Code ausgeführt werden – ganz ohne Authentifizierung.

Die Sicherheitslücke wird aktiv von der Schadsoftware “TheMoon” ausgenutzt, um MIPS-basierte Payloads zu installieren und damit volle Kontrolle über die betroffenen Geräte zu erlangen.

Laut VulnCheck hat die Schwachstelle die maximale CVSS-Bewertung von 10.0 (kritisch). Betroffen sind vermutlich auch weitere Linksys-Modelle wie die Serien WAG, WAP, WES, WET, WRT sowie Wireless-N-Router und Access Points.

Nutzer sollten ihre Geräte umgehend auf verfügbare Updates prüfen und Fernzugriffe deaktivieren.

Weitere Informationen:

Tags :

Related Posts

Verkettete Root-Eskalation in Linux: Von PAM-Konfigurationsfehler zu Root über libblockdev/udisks

Am 17. Juni 2025 veröffentlichte das Qualys Threat Research Unit (TRU) eine Schwachstellenanalyse zu zwei eng miteinander verknüpften lokalen Privilegieneskalationen (LPEs) in openSUSE Leap 15 und SUSE Linux Enterprise 15. Diese Lücken – CVE-2025-6018 und CVE-2025-6019 – ermöglichen einem einfachen Nutzer über legitime Dienste wie PAM und udisks den vollständigen Root-Zugriff auf betroffene Systeme. Die Entdeckungen betreffen nicht nur SUSE, sondern haben potenziell weitreichende Konsequenzen für alle großen Linux-Distributionen.

Read More

Kritische Lücke CVE-2025-49796 in libxml2 führt zu Denial of Service

In der vergangenen Woche wurde die Sicherheitslücke CVE-2025-49796 in der weit verbreiteten XML-Bibliothek libxml2 öffentlich vergeben. Verantwortlich dafür ist eine Type-Confusion in der Schematron-Komponente, die während der Verarbeitung von sch:name-Elementen zu einem ungültigen Namespace-Pointer (0xffffffffffffffff) und damit zu undefiniertem Verhalten bis hin zu einem Denial of Service führen kann. Der Schweregrad wird mit einem CVSS 4.0-Wert von 8,7 angegeben. Entdeckt wurde die Schwachstelle von Nikita Sveshnikov von Positive Technologies; zeroday.pt hatte das Ticket vor rund einer Woche eröffnet. Als kurzfristige Gegenmaßnahme lässt sich in der Funktion xmlSchematronFormatReport eine zusätzliche Prüfung auf den fehlerhaften Pointer einbauen, bis ein offizieller Patch der ungewarteten Schematron-Codebasis vorliegt.

Read More

Thunderbird Schwachstelle – Automatischer Datei-Download über HTML-Mails möglich

Eine neu entdeckte Sicherheitslücke in Mozilla Thunderbird (EUVD-2025-18099) ermöglicht es Angreifern, durch manipulierte HTML-Mails unerwünschte Downloads von PDF-Dateien auszulösen – auch wenn das automatische Speichern deaktiviert ist.

Read More