GL.iNet GL-MT3000: Kritische Command-Injection im OVPN-Client bis 4.4.5

Kurzfassung

Für den GL.iNet GL-MT3000 liegt eine kritische Schwachstelle vor. Betroffen ist der OVPN-Client in Firmware-Versionen bis 4.4.5. Wer das Gerät im Einsatz hat, sollte die Lage zügig prüfen, denn für die Lücke existiert bereits öffentlicher Exploit-Code.

Das Problem ist ernst genug für eine sofortige Priorisierung. Bei erreichbarer Oberfläche kann ein Angreifer aus der Ferne Befehle einschleusen.

Was ist passiert?

In der Komponente ovpn-client steckt ein Fehler in der Verarbeitung eines Parameters namens filename. Wird dieser Wert manipuliert, lässt sich eine Befehlsausführung auslösen. Die Schwachstelle betrifft laut NVD den GL.iNet GL-MT3000 bis einschließlich Firmware 4.4.5.

Der Hersteller wurde früh informiert und hat die Existenz des Problems bestätigt. Das ist sauber, ändert aber nichts am Risiko: Öffentliche Verfügbarkeit eines Exploits verschiebt die Lücke aus der Theorie direkt in den operativen Bereich.

Technische Details

CVE-2026-18601 ist als kritisch eingestuft. Der Angriffsweg führt über /cgi-bin/glc und die native Plugin-Komponente ovpn-client.so. Eine präparierte Eingabe für filename reicht aus, um Command Injection auszulösen.

Die Quelle spricht von Remote-Ausnutzung. Ob dafür eine Authentifizierung nötig ist, geht aus dem Auszug nicht hervor. Ebenso offen bleibt, ob nur die genannte Firmware 4.4.5 oder auch weitere Builds betroffen sind. Genau diese Lücken sollte man intern mit dem Hersteller-Fehlerhinweis abgleichen.

Wer ist betroffen?

Betroffen sind vor allem Umgebungen, in denen der GL.iNet GL-MT3000 produktiv läuft und von außen erreichbar ist. Für Unternehmen im DACH-Raum kann das kleine Zweigstellen, Homeoffice-Setups, Laborumgebungen oder mobile Netzlösungen betreffen.

Privatanwender sind nur dann relevant betroffen, wenn sie das Modell direkt nutzen und Fernzugriff oder unsauber abgeschottete Verwaltungsoberflächen aktiv haben. Wer den Router lediglich hinter einem weiteren Gateway betreibt und keine exponierten Dienste freigibt, reduziert das Risiko deutlich.

Empfohlene Maßnahmen

Wer das Gerät einsetzt, sollte zuerst die Firmware-Version prüfen. Liegt sie bei 4.4.5 oder darunter, gehört der Hersteller-Fix beziehungsweise eine sichere Aktualisierung sofort in den Patchplan.

Bis ein belastbarer Patch vorliegt, hilft nur Schadensbegrenzung: Verwaltungszugänge nicht ins Internet hängen, Fernwartung abschalten, Management auf interne Netze begrenzen und Regeln für eingehende Verbindungen strikt ziehen. Wenn das Gerät als VPN-Endpunkt dient, prüfen Admins zusätzlich die Erreichbarkeit des OVPN-Clients von außen.

Nach dem Update gehört ein Blick in die Logs dazu. Wer verdächtige Requests auf /cgi-bin/glc sieht oder unerklärliche Prozesse auf dem Gerät findet, sollte den Router als kompromittiert behandeln und sauber neu aufsetzen.

Einschätzung von CyberSecurity-News.de

Die Lage ist klar: kritische Schwachstelle, öffentlicher Exploit, Remote-Angriff. Mehr braucht es für eine hohe Priorität im Betrieb eigentlich nicht. Dass der Hersteller früh informiert wurde, ist positiv. Die dünne Informationslage zu Authentifizierung und Reichweite bleibt aber ein Problem, weil sie das tatsächliche Risiko schwerer einschätzbar macht.

Für die meisten Leser ist das kein Massenproblem wie eine breit ausgenutzte Windows-Lücke. In den Netzen, in denen dieser Router aber eine Rolle spielt, ist das Thema akut. Gerade kleine IT-Teams unterschätzen solche Geräte gern, weil sie am Rand laufen. Genau dort werden sie später angegriffen.

Fazit

CVE-2026-18601 ist keine theoretische Randnotiz. Der GL.iNet GL-MT3000 bis 4.4.5 erlaubt offenbar Command Injection über den OVPN-Client, und öffentlicher Exploit-Code erhöht den Druck sofort.

Admins sollten das Gerät jetzt identifizieren, Firmwarestände prüfen und die Exponierung nach außen zurückdrehen. Wer den Router produktiv nutzt, wartet besser nicht auf die nächste reguläre Wartungsrunde.