Kerngegevens
Simpel uitgelegd
Wat is er aan de hand?
In Ubiquiti airMAX M-apparaten zit een Cross-Site Request Forgery-lek (CSRF). Een aanvaller kan een ingelogde gebruiker naar een kwaadaardige webpagina lokken. Die pagina laat de browser van die gebruiker dan opdrachten naar het apparaat sturen, waardoor de aanvaller eigen commando's op het apparaat kan uitvoeren (commando-injectie).
Wie loopt risico?
Je loopt risico als je een airMAX M-apparaat met een versie tot 6.3.26 gebruikt en als beheerder ingelogd bent terwijl je een onbetrouwbare pagina opent of op een link klikt. De aanval gaat via het netwerk en vereist dat de ingelogde gebruiker iets aanklikt of bezoekt. Een aanvaller hoeft zelf geen account te hebben. Bij misbruik kunnen vertrouwelijkheid, integriteit en beschikbaarheid van het apparaat in het geding komen.
Wat moet je doen?
Controleer je versie
Kijk in het beheerscherm van je airMAX M-apparaat welke firmwareversie erop staat. Staat er een versie tot 6.3.26 op, dan moet je bijwerken.
Werk bij naar 6.3.26
Installeer de opgeloste versie 6.3.26 volgens de aanwijzingen in het advies van Ubiquiti. Dat advies behandelt ook de verwante lekken CVE-2026-116836, CVE-2026-116837 en CVE-2026-116839.
Wees voorzichtig tot je bijgewerkt hebt
Blijf niet ingelogd op het beheerscherm van het apparaat terwijl je andere websites bezoekt. Klik niet op onbekende links als je net nog bent ingelogd geweest.
Beperk toegang tot het beheer
Zorg dat het beheerscherm alleen bereikbaar is vanaf vertrouwde apparaten en netwerken, en niet rechtstreeks vanaf internet.
Dezelfde update lost meer lekken op
Dezelfde update verhelpt ook CVE-2026-116836, CVE-2026-116837, CVE-2026-116839. Met de update hierboven zijn die ook opgelost.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het beheerinterface van airMAX M-apparaten controleert onvoldoende of een verzoek echt bewust door de ingelogde gebruiker is verstuurd (CWE-352, Cross-Site Request Forgery). Een kwaadaardige pagina kan daardoor in de browser van een ingelogde gebruiker een verzoek naar het apparaat laten uitvoeren. Dat verzoek kan invoer bevatten die het apparaat als systeemcommando verwerkt, wat leidt tot commando-injectie. De CVSS 3.1-vector (AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H) geeft aan dat de aanval via het netwerk kan, laag in complexiteit is, geen rechten vooraf vereist en gebruikersinteractie nodig heeft. De fout is opgelost in versie 6.3.26.
CVSS-vector (versie 3.1, basisscore 8,8, bron: CNA)
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H- Zwakheid (CWE)
- CWE-352 · Cross-Site Request Forgery (verzoekvervalsing tussen websites)
- Aanvalsroute
- Via het netwerk of internet
- Aanvalscode openbaar
- Nee