Kurzfassung

FatPipe MPVPN-, WARP- und IPVPN-Appliances mit der ausgelaufenen Firmware 10.1.2r60p100 weisen zwei kritische Schwachstellen auf: CVE-2026-90822 und CVE-2026-90823, jeweils mit CVSS 9.8, kritisch. Beide Lücken erlauben unter bestimmten Bedingungen unauthentifizierte Angriffe über das Netzwerk mit möglicher Ausführung von Befehlen oder Code als root. Praktisch relevant wird das vor allem dann, wenn die betroffene Management-Schnittstelle in Ihrer Umgebung aktiviert und von nicht vertrauenswürdigen Netzen erreichbar ist.

Was ist passiert?

Für FatPipe-Appliances der Produktlinien MPVPN, WARP und IPVPN sind zwei eng zusammenhängende Sicherheitslücken bekannt geworden. Beide betreffen ausschließlich die End-of-Life-Firmware 10.1.2r60p100 und beide sitzen im Bereich der Geräteverwaltung.

CVE-2026-90822 beschreibt eine Befehlsinjektion im Dienst xtremed. Ein Angreifer kann über den Endpunkt AuthFormServlet manipulierte Eingaben einschleusen, sodass Authentifizierungsdaten von einer Shell verarbeitet werden und dadurch beliebige Befehle als root laufen.

CVE-2026-90823 betrifft ein stackbasiertes Pufferüberlaufproblem in /usr/sbin/auth_user_pass. Hier kann eine präparierte Authentifizierungsanfrage dazu führen, dass Daten ungeprüft in einen festen Stack-Puffer kopiert werden. Das kann ebenfalls in Codeausführung mit Root-Rechten münden.

Wichtig für die Einordnung: Die betroffene Management-Schnittstelle ist laut NVD standardmäßig deaktiviert. Angreifbar werden die Systeme erst, wenn diese Verwaltungsfunktion bewusst aktiviert wurde und von einem Angreifer erreicht werden kann.

Technische Details

Beide Schwachstellen tragen den CVSS-Basiswert 9.8 und gelten damit technisch als kritisch. Der Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H bedeutet: Ein Angriff ist über das Netzwerk möglich, die Angriffskomplexität ist gering, es sind keine Berechtigungen und keine Nutzerinteraktion nötig, und ein erfolgreicher Angriff kann Vertraulichkeit, Integrität und Verfügbarkeit vollständig beeinträchtigen.

Bei CVE-2026-90822 verarbeitet der betroffene Dienst Eingaben so, dass sie an eine Shell gelangen. Das ist besonders gefährlich, weil daraus ohne Anmeldung eine direkte Befehlsausführung als root entstehen kann, sofern die Management-Oberfläche erreichbar ist.

Bei CVE-2026-90823 liegt das Problem tiefer im Authentifizierungsprozess. Ein ungeprüfter Kopiervorgang in einen fest dimensionierten Stack-Puffer eröffnet die Möglichkeit eines Speicherfehlers bis hin zur Ausführung eigenen Codes mit Root-Rechten.

Der CVSS-Wert beschreibt die technische Schwere der Schwachstellen, nicht automatisch deren tatsächliche Ausnutzung in freier Wildbahn. Ob die Lücken bereits aktiv ausgenutzt werden, geht aus den NVD-Einträgen nicht hervor.

Wer ist betroffen?

Betroffen sind FatPipe MPVPN-, WARP- und IPVPN-Appliances mit der Firmware-Version 10.1.2r60p100. Diese Version ist End-of-Life und wird damit nicht mehr regulär als aktuelle, unterstützte Basis geführt.

Für Unternehmen im DACH-Raum ist das vor allem in älteren WAN-, VPN- oder Edge-Umgebungen relevant, in denen Appliances über Jahre unverändert betrieben werden. Besonders kritisch ist die Lage dort, wo die Management-Schnittstelle aus Bequemlichkeit über größere interne Netze, Außenstandorte oder sogar WAN-seitig erreichbar gemacht wurde.

Wer aktuelle unterstützte Firmware einsetzt oder die betroffene Verwaltungsfunktion nie aktiviert hat, ist nach heutigem Stand deutlich geringer exponiert. Ohne Prüfung sollten Sie davon aber nicht ausgehen.

Empfohlene Maßnahmen

  1. Sofort prüfen, ob Firmware 10.1.2r60p100 im Einsatz ist. Inventarisieren Sie alle FatPipe MPVPN-, WARP- und IPVPN-Systeme und gleichen Sie die Firmware-Version ab.
  2. Management-Schnittstelle auf Erreichbarkeit testen. Stellen Sie fest, ob die Verwaltungsoberfläche aktiviert ist und aus welchen Netzen sie erreichbar ist. Externe Erreichbarkeit muss als akutes Risiko behandelt werden.
  3. Zugriff umgehend einschränken. Begrenzen Sie den Management-Zugang auf dedizierte Administratornetze, idealerweise per Quell-IP-Filterung und WAN-Zugriffskontrolllisten.
  4. Öffentliche und breit interne Freigaben entfernen. Deaktivieren Sie unnötige Portfreigaben, VPN-Pfade oder Routing-Ausnahmen zur Management-Schnittstelle.
  5. Upgrade auf eine unterstützte Firmware einplanen und priorisieren. Da die betroffene Version End-of-Life ist, reicht reines Abschotten nur als Übergangsmaßnahme. FatPipe nennt für Unterstützung und Upgrade-Hilfe ausdrücklich seinen Support-Bereich.
  6. Logs und Konfigurationsänderungen rückwirkend prüfen. Suchen Sie nach auffälligen Authentifizierungsanfragen, unerwarteten Root-Aktivitäten und Änderungen an Netzwerk- oder Systemkonfigurationen.

Falls Sie die Geräte nicht kurzfristig aktualisieren können, sollte die Management-Schnittstelle bis zur Bereinigung nur aus streng kontrollierten Admin-Netzen erreichbar sein oder deaktiviert bleiben.

Einschätzung von CyberSecurity-News.de

Die technische Schwere ist eindeutig hoch, aber die praktische Reichweite hängt stark an einer Bedingung: Die Management-Schnittstelle ist nicht standardmäßig offen. Das relativiert die Breitenwirkung, senkt aber nicht das Risiko für betroffene Installationen. Wer die Verwaltung erreichbar gemacht hat, trägt hier ein sehr ernstes Root-Kompromittierungsrisiko.

Positiv ist, dass die betroffene Firmware-Version klar benannt wird. Weniger hilfreich ist, dass öffentliche Detailinformationen zur Abgrenzung gegenüber anderen Versionen knapp bleiben. Für Administratoren zählt deshalb vor allem eine nüchterne Bestandsaufnahme: läuft 10.1.2r60p100 irgendwo noch produktiv, muss gehandelt werden.

Andere Medien werden den CVSS-Wert voraussichtlich in den Vordergrund stellen. Für die Praxis im Unternehmen ist die wichtigere Frage jedoch: Ist die Management-Oberfläche aktiviert und erreichbar? Genau davon hängt die Dringlichkeit in Ihrer Umgebung ab.

Fazit

Wenn Sie FatPipe MPVPN-, WARP- oder IPVPN-Appliances betreiben, prüfen Sie sofort auf Firmware 10.1.2r60p100 und auf die Erreichbarkeit der Management-Schnittstelle. Ist beides der Fall, sollten Sie den Zugriff sofort einschränken und das Upgrade auf eine unterstützte Version ohne Aufschub einleiten.

Quellenangabe