SecBoard
Zurück zur CVE-Übersicht

CVE-2026-80144

CRITICAL(9.9)

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H

Risk Signal Score25/100 — MITTEL
  • CVSS 9.9 — Kritisch

Erwähnungen (letzte 60 Tage)

Artikel

EPSS-Score

1.5%

Exploit-Wahrscheinlichkeit (30 Tage)

CVSS Score

9.9

Technische Schwere

SecBoard-Einordnung

CVE-2026-80144 betrifft mehrere Lantronix-Produkte, darunter SLC8000, EMG8500/EMG7500 und SLB882/SLCx-03/SLCx-02. Es handelt sich um eine Command-Injection-Schwachstelle, die es authentifizierten Angreifern ermöglicht, beliebige Shell-Befehle mit Root-Rechten auszuführen. Dies geschieht durch die Ausnutzung eines undokumentierten 'mfc eeprom write'-Befehls, der unsanitierte Benutzereingaben an einen 'system()'-Aufruf weiterleitet. Die Schwachstelle führt zu einem vollständigen Verlust der Vertraulichkeit, Integrität und Verfügbarkeit der betroffenen Geräte und kann auch nachgeschaltete serielle Geräte beeinträchtigen. Die Schwachstelle ist mit einem CVSS-Score von 9.9 als kritisch eingestuft, was auf das hohe Schadenspotenzial hinweist. Obwohl der EPSS-Wert mit 3% eine geringe Ausnutzungswahrscheinlichkeit anzeigt und die Schwachstelle nicht im KEV-Katalog gelistet ist, sollte die hohe Kritikalität aufgrund der Root-Rechte und der weitreichenden Auswirkungen nicht unterschätzt werden. Security-Teams sollten umgehend prüfen, ob betroffene Lantronix-Geräte im Einsatz sind. Für SLC8000 ist ein Update auf Firmware v9.7.0.2 oder höher und für EMG8500/EMG7500 auf v9.7.0.1 oder höher erforderlich. Für SLB882/SLCx-03/SLCx-02 sind alle Firmware-Versionen betroffen, hier sind Herstellerinformationen zu Patches oder Mitigationen zu konsultieren. Eine schnelle Patch-Implementierung ist zur Minimierung des Risikos unerlässlich.

KI-gestützte Einordnung auf Basis der NVD-Daten.

Beschreibung

Lantronix SLC8000/SLC9000 before firmware v9.7.0.2, EMG8500/EMG7500 before firmware v9.7.0.1, and all firmware versions of SLB882/SLCx-03/SLCx-02 contain a command injection vulnerability that allows authenticated attackers to execute arbitrary shell commands as root by exploiting an undocumented mfc eeprom write command that passes unsanitized user input to a system() call. Attackers can authenticate as any user to the terminal or CLI interface and inject malicious commands through the unsanitized parameter to achieve complete loss of confidentiality, integrity, and availability on the affected device and potentially impact downstream serial-attached devices.

Referenzen