CVE-2026-123025: Command Injection critico in OPNsense ACME plugin

RCE critica in OPNsense ACME plugin via command injection. CVSS 9,4. Richiede autenticazione. Patch necessaria.

La CVE-2026-123025 è una vulnerabilità di OS Command Injection nel modulo Google Cloud DNS del plugin os-acme-client di OPNsense fino alla versione 4.17. Consente a un utente autenticato remoto di eseguire comandi arbitrari come root tramite WebGUI o API sfruttando interpolazione diretta dei campi gcloud_account e gcloud_project in un comando shell senza validazione. Questo espone sistemi OPNsense che usano questa configurazione con provider Google Cloud.

Il CVSS è 9,4, con valutazione di gravità critica. La vulnerabilità è stata pubblicata su NVD il 5 novembre 2026. Un segnale pubblico risale al 6 novembre 2026 da repository GitHub che dichiara di contenere exploit per questa vulnerabilità. Questo indica una finestra critica di esposizione per i sistemi non patchati. L'autenticazione richiesta limita il rischio di sfruttamento a utenti con accesso WebGUI/API, ma non riduce la gravità dell'impatto: esecuzione di codice come root consente accesso completo ai sistemi OPNsense.

Le azioni difensive prioritarie: 1) Verificare se il plugin os-acme-client è installato e attivo sui server OPNsense in uso. 2) Controllare la versione e applicare il patch non appena disponibile. 3) Nel breve termine, limitare l'accesso alla WebGUI/API e revocare i privilegi di emissione certificati agli account non essenziali. 4) Monitorare i log di sistema per attività sospette di esecuzione comando. 5) Contattare il vendor per lo stato del patch.

In sintesi

Cosa: OS Command Injection nel metodo DnsGcloud::prepare() del plugin os-acme-client, versione 4.17 e precedenti. I campi gcloud_account e gcloud_project vengono interpolati in comando shell senza validazione.
Gravità: CVSS 9,4 - Critica. Esecuzione arbitraria di codice come root su OPNsense.
Versioni interessate: OPNsense os-acme-client plugin through 4.17
Correzione: non riportato
Stato: Pubblicato 5 novembre 2026. Repository GitHub con dichiarazione di exploit rilevato 6 novembre 2026.
Azione: 1) Verificare installazione del plugin. 2) Applicare patch appena disponibile. 3) Limitare accesso WebGUI/API. 4) Monitorare log di sistema. 5) Contattare vendor per timeline patch.

Fonti: NVD, CVE-2026-123025

← Tutti gli articoli