CVE-2026-80155: Kritisk fejl i Lantronix konsolservere
Kritisk fejl i Lantronix konsolservere giver angribere fuld fjernstyring uden login. Opdatér SLC8000 og EMG8500/7500 nu, isolér SLB882 og SLCx-modeller.
Hvad er det?
CVE-2026-80155 er en fejl i webadministrationen på Lantronix’ konsolservere, det er enheder, der giver fjernadgang til andet udstyr via serielle porte. Fejlen ligger i CWE-22, path traversal, som betyder at et program kan narres til at åbne filer uden for den mappe, det burde bruge. Serveren bygger stien til en sessionscookie-fil med en fast bufferstørrelse. Ved at sende en cookie af en bestemt længde kan en angriber få stien til at afkortes, så systemet i stedet læser en helt anden fil på disken, for eksempel brugerdatabasen. Dermed kan al login-kontrol omgås uden brugernavn eller adgangskode.
Hvem rammer det?
Fejlen rammer Lantronix SLC8000 med firmware ældre end 9.7.0.5, EMG8500 og EMG7500 med firmware ældre end 9.7.0.1, samt alle firmwareversioner af SLB882, SLCx-03 og SLCx-02. Disse enheder bruges ofte til fjernstyring af servere, netværksudstyr og industrielt udstyr via serielle konsolporte, blandt andet i produktionsvirksomheder, datacentre og kommunale tekniske installationer.
Hvad kan ske?
En angriber uden adgangskode kan læse følsomme konfigurationsfiler og uploade egne filer til enheden, hvilket giver fuld kontrol over konsolserveren og mulighed for at køre kode på den. Da enheden ofte er forbundet til andet udstyr via serielle porte, kan angriberen potentielt også påvirke de tilsluttede systemer, for eksempel industrielle styringer eller netværksudstyr, som ellers ikke er direkte tilgængelige fra internettet.
Hvor alvorligt er det?
CVSS-score er 10 ud af 10, den højeste mulige. Angrebet kræver ingen adgangskode, ingen handling fra en bruger og kan udføres over netværket med lav teknisk kompleksitet. Konsekvensen er fuldt tab af fortrolighed, integritet og tilgængelighed på enheden. Der er ikke oplyst om aktiv udnyttelse på offentliggørelsesdatoen, men den detaljerede tekniske beskrivelse betyder, at et angreb kan udvikles hurtigt.
Hvad gør jeg nu?
Prioritér efter hvilken model I har, da opdatering ikke er tilgængelig for alle enheder.
- Opdatér SLC8000 til firmware 9.7.0.5 eller nyere, og EMG8500/EMG7500 til firmware 9.7.0.1 eller nyere. Det lukker hullet på disse modeller.
- For SLB882, SLCx-03 og SLCx-02, hvor der ikke findes en opdatering, fjern webadministrationsporten fra internettet og begræns adgang til en administrationsvlan eller via VPN.
- Gennemgå enhedens logfiler for uventede filuploads eller sessionsopkald, som ikke matcher normal drift.
- Skift adgangskoder for alle lokale brugerkonti på enheden, da brugerdatabasen kan være læst.
- Kortlæg hvilke serielt tilsluttede systemer, der kan være påvirket, og vurdér om de skal isoleres separat.
- Kontakt Auroa eller anden sikkerhedsrådgiver, hvis I ikke selv kan verificere firmwareversion eller gennemføre netværkssegmentering.
Opdatér eller isolér inden for 24 timer
Vi anbefaler, at I opdaterer SLC8000 og EMG8500/EMG7500 til de rettede firmwareversioner så hurtigt, det praktisk kan lade sig gøre, da fejlen kan udnyttes uden login over netværket. For SLB882, SLCx-03 og SLCx-02, hvor der endnu ikke findes en opdatering, bør webadministrationen isoleres fra internettet, indtil en opdatering er udgivet. Det er ikke forsvarligt at vente til en planlagt vedligeholdelsesrunde, når enheden er tilgængelig fra internettet.
Tidslinje
Konkrete eksempler
Fjernstyring af produktionsudstyr overtages
En dansk produktionsvirksomhed bruger en SLB882 til at give teknikere fjernadgang til styringer på fabriksgulvet via serielle porte. Webadministrationen er tilgængelig fra internettet, fordi en tekniker skulle kunne logge på hjemmefra. En angriber finder enheden, omgår login med den beskrevne teknik, uploader en fil og får kontrol over konsolserveren. Herfra kan angriberen nå de tilsluttede styringer og potentielt stoppe eller manipulere produktionen.
Ofte stillede spørgsmål
Hvordan finder vi ud af, om vi bruger en af de sårbare Lantronix-modeller?
Log ind på enhedens webadministration eller seriel konsol, og se model og firmwareversion under systeminformation. Har I en netværksoversigt eller CMDB, kan I søge efter Lantronix SLC8000, EMG8500, EMG7500, SLB882 eller SLCx.
Kan vi vente med at opdatere til en fast servicevindue i weekenden?
Kun hvis enheden ikke er tilgængelig fra internettet i mellemtiden. Er webadministrationen eksponeret uden netværksbegrænsning, bør adgangen begrænses eller lukkes, allerede før opdateringen udføres.
Vi har SLB882, hvor der ikke findes en opdatering. Hvad gør vi?
Fjern webadministrationsporten fra internettet, og begræns adgang til et administrationsnetværk eller VPN. Overvåg logfiler for uventet aktivitet, indtil Lantronix udgiver en fast firmware.
Kan angrebet også påvirke udstyr, der ikke selv er på internettet?
Ja. Da konsolserveren ofte er forbundet til andet udstyr via serielle porte, kan en angriber, der får kontrol over konsolserveren, potentielt også nå de tilsluttede systemer, selv om de ikke direkte er tilgængelige fra internettet.
Skal vi anmelde dette som et sikkerhedsbrud?
Kun hvis I finder konkrete tegn på, at fejlen er udnyttet, og persondata eller kritiske systemer er blevet kompromitteret. Find først ud af, om enheden er ramt, og gennemgå logfilerne, før I vurderer anmeldelsespligten.
Er der en midlertidig løsning, hvis vi ikke kan opdatere lige nu?
Isoler webadministrationsporten fra internettet og begræns adgang til et administrationsnetværk. Det fjerner ikke fejlen, men reducerer muligheden for, at en ekstern angriber kan nå den sårbare funktion.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Lantronix SLC8000 before firmware v9.7.0.5, EMG8500/EMG7500 before firmware v9.7.0.1, and all firmware versions of SLB882/SLCx-03/SLCx-02 contain an authentication bypass vulnerability in the web management portal upload endpoint that allows unauthenticated attackers to read sensitive configuration files and upload files to arbitrary filesystem locations, leading to remote code execution. The web configuration server constructs the session cookie file path using snprintf with a fixed-size buffer; by supplying a cookie value of a specific length an attacker causes the path to truncate at the required delimiter and leverages path traversal to redirect authentication validation to an arbitrary on-disk file such as the local user database, bypassing all session checks. Attackers can use this vulnerability to achieve complete loss of confidentiality, integrity, and availability on the affected device and potentially impact downstream serial-connected devices.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.