CVE-2025-67038
Lantronix EDS5000 Code Injection Vulnerability
Beschreibung
CVE-2025-67038 ist eine kritische Code-Injection-Schwachstelle in der Lantronix-EDS5000-Familie von Seriell-zu-Ethernet-Geräteservern mit Firmware 2.1.0.0R3. Das HTTP-RPC-Modul führt bei jedem fehlgeschlagenen Authentifizierungsversuch einen Shell-Befehl aus, um einen Log-Eintrag zu schreiben, und verkettet den übermittelten Benutzernamen ohne jede Bereinigung direkt in diesen Befehl, sodass ein Angreifer beliebige OS-Befehle in das Benutzernamensfeld einbetten kann. Da der Fehlanmelde-Pfad bereits vor einer erfolgreichen Authentifizierung erreichbar ist, kann ein nicht authentifizierter, entfernter Angreifer die Lücke auslösen, und die eingeschleusten Befehle werden mit Root-Rechten ausgeführt. Mit einem CVSS-3.1-Wert von 9.8 verschafft diese Code-Injection-Schwachstelle die vollständige Kontrolle über das betroffene Gerät, und CVE-2025-67038 ist im Known-Exploited-Vulnerabilities-(KEV-)Katalog der CISA gelistet, was die Command Injection im Lantronix EDS5000 zu einem vorrangigen Sicherheitsproblem für jede Organisation macht, die diese Geräteserver betreibt.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| lantronix | eds5032 firmware | 2.1.0.0r3 |
| lantronix | eds5008 firmware | 2.1.0.0r3 |
| lantronix | eds5016 firmware | 2.1.0.0r3 |
Referenzen
- https://www.cisa.gov/news-events/ics-advisories/icsa-26-069-02(Third Party Advisory, VDB Entry)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2025-67038(US Government Resource)
Schwachstellentyp
CWE-94: Unsachgemäße Kontrolle der Code-Generierung ('Code Injection')
CVE-2025-67038 beruht auf CWE-94: Der Lantronix EDS5000 konstruiert einen Shell-Befehl unter Verwendung extern beeinflusster Eingaben — des Anmelde-Benutzernamens — ohne Spezialelemente zu neutralisieren, die das Verhalten des Befehls verändern. Da die Protokollierungsroutine bei fehlgeschlagener Authentifizierung den vom Angreifer kontrollierten Benutzernamen direkt in einen Befehl verkettet, den das Gerät als Root ausführt, kann ein nicht authentifizierter Angreifer zusätzliche OS-Befehle in den Benutzernamen-Parameter einschleusen und mit vollen Rechten ausführen lassen.
Mehr erfahren: CWE-94 — Unsachgemäße Kontrolle der Code-Generierung ('Code Injection')
Auswirkungsanalyse
CVE-2025-67038 weist einen CVSS-3.1-Wert von 9.8 (CRITICAL) auf und ist aus der Ferne über das Netzwerk ohne physischen Zugriff ausnutzbar (Angriffsvektor NETWORK), mit geringer Komplexität und ohne besondere Voraussetzungen (Angriffskomplexität LOW), ohne jede Authentifizierung (erforderliche Rechte NONE) und ohne Benutzerinteraktion (Benutzerinteraktion NONE). Eine erfolgreiche Ausnutzung führt zu HIGH-Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit: Da die eingeschleusten Befehle als Root laufen, kann ein Angreifer beliebige Daten auf dem Gerät lesen, dessen Konfiguration und Firmware-Verhalten verändern, auf angeschlossene serielle Geräte übergreifen und den Geräteserver vollständig deaktivieren oder unbrauchbar machen. Zwar bleibt der Scope unverändert, wodurch die direkte Auswirkung auf die verwundbare Komponente beschränkt ist, doch stehen diese EDS5000-Einheiten häufig industriellen und OT-seriellen Geräten vor, sodass eine vollständige Root-Kompromittierung einer Einheit zum Einstiegspunkt in ein ansonsten segmentiertes Netzwerk werden kann. Angesichts der durch die KEV-Listung bestätigten aktiven Ausnutzung und eines trivial erreichbaren, nicht authentifizierten Angriffspfads sollten Organisationen mit betroffener Lantronix-EDS5000-Firmware diese Schwachstelle als Notfall behandeln.
Exploit-Reifegrad
Die CISA hat die aktive Ausnutzung von CVE-2025-67038 in freier Wildbahn durch Aufnahme in den Known-Exploited-Vulnerabilities-Katalog bestätigt, mit einer behördlichen Behebungsfrist zum 2026-06-26. Der KEV-Ransomware-Status ist derzeit als Unknown gelistet, doch eine nicht authentifizierte Remote-Root-Lücke in einem internetexponierten Geräteserver ist für ein breites Spektrum von Angreifern äußerst attraktiv. Der EPSS-Wert von 0,01094 ordnet CVE-2025-67038 bei rund 1,1 % Wahrscheinlichkeit im 61,5. Perzentil ein — eine unterdurchschnittliche Rohwahrscheinlichkeit, die jedoch durch die von der KEV-Listung belegte reale Ausnutzung aufgewogen wird. In den verfügbaren Referenzen (dem CISA-ICS-Advisory und dem KEV-Katalogeintrag) ist kein dedizierter öffentlicher Exploit oder Proof-of-Concept getaggt, doch Organisationen sollten davon ausgehen, dass funktionierende Angriffswerkzeuge existieren, und umgehend beheben.
Behebung
- Der KEV-Handlungsanweisung der CISA folgen. Maßnahmen gemäß den Anweisungen von Lantronix umsetzen und dabei die BOD-26-04-Vorgaben der CISA sowie die Forensics-Triage-Anforderungen einhalten; die anwendbare BOD-26-04-Vorgabe befolgen oder das Produkt außer Betrieb nehmen, falls keine Maßnahmen verfügbar sind. Die Internet-Exposition jedes Assets bewerten und die KEV-Frist zum 2026-06-26 einhalten. Ziehen Sie die Hersteller- und CISA-Hinweise im CISA-ICS-Advisory ICSA-26-069-02 heran.
- Betroffene Firmware aktualisieren. Die Modelle EDS5008, EDS5016 und EDS5032 sind allesamt auf Firmware 2.1.0.0R3 betroffen; die von Lantronix bereitgestellte korrigierte Firmware gemäß Advisory einspielen und jede EDS5000-Einheit inventarisieren, um sicherzustellen, dass keine mehr auf dem verwundbaren Build läuft.
- Das Gerät sofort aus nicht vertrauenswürdigen Netzen entfernen. Bis zum Patchen die HTTP-Management-Schnittstelle vom öffentlichen Internet nehmen, auf ein dediziertes Management-VLAN beschränken und per Firewall/ACL-Regeln erzwingen, dass nur vertrauenswürdige administrative Hosts den RPC-Endpunkt erreichen — damit wird der nicht authentifizierte, entfernte Angriffspfad geschlossen.
- Nach vorheriger Ausnutzung suchen. Geräte- und vorgelagerte Logs auf auffällige Fehlanmeldeversuche prüfen, die Shell-Metazeichen (
;,|,`,$()) im Benutzernamensfeld enthalten, sowie auf unerwartete ausgehende Verbindungen und unautorisierte Konfigurations- oder Firmware-Änderungen — angesichts der bestätigten Ausnutzung in freier Wildbahn. - Langfristig gegen Code Injection härten. Wo konfigurierbar, ungenutzte Management-Dienste deaktivieren oder einschränken und Firmware-Versionen priorisieren, in denen Lantronix Benutzereingaben validiert und neutralisiert, bevor sie jemals an eine Shell übergeben werden — die grundlegende Behebung von CWE-94-Code-Injection besteht darin, keine ausführbaren Befehle mehr aus nicht vertrauenswürdigen Eingaben zu konstruieren.
Technische Details
CVE-2025-67038 ist eine Code-Injection-Schwachstelle (CWE-94) im HTTP-RPC-Modul des Lantronix-EDS5000-Geräteservers und entspricht dem klassischen Muster, bei dem Software einen Teil eines ausgeführten Befehls aus extern beeinflussten Eingaben baut, ohne Spezialelemente zu neutralisieren. Wenn ein Anmeldeversuch fehlschlägt, ruft das Modul einen Shell-Befehl auf, um einen Log-Eintrag zu schreiben, und fügt den vom Angreifer gelieferten Benutzernamen wortwörtlich in diese Befehlszeichenkette ein; ein Benutzername, der etwa einen Befehlstrenner gefolgt von einem beliebigen Befehl enthält, wird daher von der Shell geparst und ausgeführt, statt als Literaltext behandelt zu werden. Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H zeigt, dass der Angriff über das Netzwerk erfolgt, von geringer Komplexität ist, weder Rechte noch Benutzerinteraktion erfordert und zu voller HIGH-Auswirkung auf Vertraulichkeit, Integrität und Verfügbarkeit führt — gerade weil die eingeschleusten Befehle als Root laufen. Diese Schwäche gehört zu den schwerwiegendsten Klassen bei eingebetteten und Netzwerkgeräten, da ein einziges ungefiltertes Feld in einer Authentifizierungsroutine zu einem nicht authentifizierten Remote-Root-Primitiv wird.
Häufig gestellte Fragen
Wird CVE-2025-67038 aktiv ausgenutzt?
Ja. CVE-2025-67038 ist im Known-Exploited-Vulnerabilities-Katalog der CISA gelistet, was die aktive Ausnutzung in freier Wildbahn bestätigt, mit Behebungsfrist zum 2026-06-26. Der EPSS-Wert von 0,01094 (61,5. Perzentil) spiegelt eine moderate Rohwahrscheinlichkeit wider, doch die KEV-Listung bedeutet, dass reale Angriffe auf den Lantronix EDS5000 beobachtet wurden. Eine Ransomware-Beteiligung ist derzeit als Unknown gelistet.
Welche Produkte sind von CVE-2025-67038 betroffen?
Betroffen ist die Lantronix-EDS5000-Familie von Geräteservern mit Firmware 2.1.0.0R3, konkret die Modelle EDS5008, EDS5016 und EDS5032. Organisationen sollten jede EDS5000-Einheit inventarisieren und die laufende Firmware-Version prüfen. Alle Einheiten auf dem betroffenen Build weisen die nicht authentifizierte Command Injection auf.
Wie behebe ich CVE-2025-67038?
Folgen Sie der KEV-Handlungsanweisung der CISA, spielen Sie die korrigierte Firmware von Lantronix gemäß ICS-Advisory ICSA-26-069-02 ein und stellen Sie — falls noch keine Korrektur verfügbar ist — die Exposition des Geräts ein. Nehmen Sie während der Behebung die HTTP-Management-Schnittstelle aus nicht vertrauenswürdigen Netzen, beschränken Sie sie auf vertrauenswürdige administrative Hosts und prüfen Sie die Logs auf Anzeichen einer vorherigen Ausnutzung, wie im Abschnitt Behebung beschrieben.
Wie schwerwiegend ist CVE-2025-67038?
CVE-2025-67038 ist als CRITICAL mit einem CVSS-3.1-Wert von 9.8 eingestuft. Sie erlaubt einem nicht authentifizierten, entfernten Angreifer, beliebige OS-Befehle als Root auszuführen, bei geringer Angriffskomplexität und ohne Benutzerinteraktion, und erreicht HIGH-Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit. Die Aufnahme in den KEV-Katalog macht sie trotz des moderaten EPSS-Perzentils zu einer Schwachstelle mit höchster Priorität für die sofortige Behebung.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.