Eine ungepatchte Sicherheitslücke in Calix-GS7-XGS-Routern, auch bekannt als Modell GS5239XG oder GigaSpire 7u10txg, ermöglicht es einem im Internet befindlichen Angreifer, ohne Anmeldung Portweiterleitungsregeln zu erstellen. Dadurch kann ein direkter Pfad zu Geräten im Heimnetzwerk geöffnet werden.
Die Schwachstelle trägt die Kennung CVE-2026-75501 und betrifft Geräte mit der Firmwareversion EXOS/6.6.47. Den vom CERT Coordination Center der Carnegie Mellon University (CERT/CC) koordinierten Angaben zufolge wird das Problem dadurch verursacht, dass der Kontrollendpunkt des MiniUPnPd-Dienstes über den TCP-Port 5000 ohne Zugriffskontrollen auf der öffentlichen WAN-Schnittstelle offengelegt ist.
Wie kann der Fehler ausgenutzt werden?
Die offengelegte Schnittstelle ermöglicht das Senden nicht authentifizierter SOAP-Anfragen an den UPnP-Dienst WANIPConnection, um Portweiterleitungen hinzuzufügen, zu löschen oder aufzulisten sowie die externe IP-Adresse des Routers abzufragen. Dadurch lassen sich die Schutzmechanismen von NAT und Firewall umgehen und eingehende Verbindungen aus dem Internet an eine vom Angreifer im Netzwerk ausgewählte Adresse weiterleiten.
Der Sicherheitsforscher Brian Khan Quintana testete die Schwachstelle, indem er von außerhalb seines Heimnetzwerks Anfragen sendete, um eine Portweiterleitung zu einem internen Gerät einzurichten. Er erklärte, dass die ohne Ablaufzeit erstellte Weiterleitung auch nach dem Ausschalten und anschließenden Neustart des Routers aktiv blieb. Zu den möglichen Auswirkungen gehören die Offenlegung von Überwachungskameras, netzwerkgebundenen Speichern (NAS), Verwaltungsoberflächen und IoT-Geräten.
Laut Quintana kann eine einzige nicht authentifizierte Anfrage von jedem Ort im Internet ausreichen, um eine dauerhafte Lücke durch die Firewall des Routers zu schaffen, ohne Passwort und ohne für den Benutzer sichtbare Aufforderung. Zu den möglichen Aktionen gehören außerdem das Erstellen beliebiger Portweiterleitungsregeln, das Löschen bestehender Regeln, das Auflisten aktueller Weiterleitungen und das Abrufen der öffentlichen IP-Adresse.
Offenlegung und fehlender Patch
Quintana entdeckte den Fehler und versuchte, Calix am 7. Juni darüber zu informieren, erhielt jedoch keine Antwort und wandte sich daher an CERT/CC. Nach weiteren erfolglosen Kontaktversuchen mit dem Unternehmen koordinierte das Zentrum die öffentliche Offenlegung der Schwachstelle. Anschließend veröffentlichte der Forscher ihre technischen Details.
Mehrere Breitbandanbieter in den USA verwenden Geräte von Calix, darunter Cox Communications, Brightspeed, ALLO, CityFibre und Conexon. Beim GS5239XG handelt es sich um ein modernes Premium-Gateway, das Wi-Fi 7 mit einem integrierten XGS-PON-Glasfaserabschluss kombiniert.
BleepingComputer kontaktierte Calix, um eine Stellungnahme zur Schwachstelle, zu den betroffenen Modellen und zu den Plänen für die Veröffentlichung eines Patches zu erhalten, bekam jedoch bis zum Zeitpunkt der Veröffentlichung keine Antwort.
Was sollten Benutzer tun?
Da kein Fix verfügbar ist, empfehlen Quintana und CERT/CC, UPnP über den Verwaltungspfad Advanced → Security → UPnP zu deaktivieren. Dadurch wird das automatische Öffnen von Ports verhindert. Diese Funktion kann von einigen Spielen benötigt werden; bestimmte Ports lassen sich bei Bedarf jedoch manuell öffnen.
CERT/CC weist darauf hin, dass die Option zum Deaktivieren von UPnP in manchen Fällen gesperrt sein kann. Wenn sie sich nicht ändern lässt, sollten Benutzer ihren Internetdienstanbieter kontaktieren und ihn bitten, die Funktion zu deaktivieren. Die praktische Bedeutung der Meldung liegt darin, dass die Gefahr weder ein Konto noch eine Interaktion des Haushaltsbesitzers erfordert. Der endgültige Umfang der betroffenen Geräte und Calix’ Plan zur Veröffentlichung eines Patches bleiben jedoch offene Fragen, die das Unternehmen noch klären muss.