Kerngegevens
Simpel uitgelegd
Wat is er aan de hand?
In Ubiquiti airMAX M-apparaten zit een lek waarmee een aanvaller je browser ongemerkt opdrachten naar het apparaat kan laten sturen. Dat heet cross-site request forgery (CSRF). Daarmee kan hij ongewenste wijzigingen doorvoeren en het apparaat laten uitvallen (denial of service).
Wie loopt risico?
Je loopt risico als je een airMAX M-apparaat met een oudere softwareversie gebruikt en ingelogd bent op het apparaat. De aanvaller moet je dan overhalen een kwaadaardige webpagina te openen. Zonder dat je ingelogd bent, werkt de aanval niet. Er is geen aanwijzing dat het lek actief wordt misbruikt.
Wat moet je doen?
Controleer je apparaten
Kijk na of je airMAX M-apparaten gebruikt en welke softwareversie erop draait. Versies tot 6.3.26 zijn getroffen.
Werk bij naar 6.3.26
Installeer de opgeloste versie 6.3.26 volgens de instructies van Ubiquiti in het advies van de leverancier.
Wees voorzichtig tot de update is geïnstalleerd
Log uit bij het beheerscherm van het apparaat als je het niet gebruikt. Open tijdens het beheren geen onbekende links of webpagina's in dezelfde browser.
Dezelfde update lost meer lekken op
Dezelfde update verhelpt ook CVE-2026-116836, CVE-2026-116837, CVE-2026-116838. Met de update hierboven zijn die ook opgelost.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het beheerscherm van airMAX M-apparaten controleert onvoldoende of een verzoek echt van de ingelogde gebruiker afkomstig is (CWE-352). Een aanvaller kan een pagina maken die zonder medeweten van de gebruiker verzoeken naar het apparaat stuurt, met de sessie van de ingelogde gebruiker. Daarmee kunnen instellingen onbedoeld worden gewijzigd en kan het apparaat buiten werking worden gebracht. De aanval verloopt via het netwerk, vereist geen rechten van de aanvaller en wel een handeling van de gebruiker. Het leverde een CVSS 3.1-score van 7,1 op (door de CNA toegekend), met beperkte gevolgen voor de integriteit en grote gevolgen voor de beschikbaarheid. Het lek is opgelost in versie 6.3.26.
CVSS-vector (versie 3.1, basisscore 7,1, bron: CNA)
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:H- Zwakheid (CWE)
- CWE-352 · Cross-site request forgery (CSRF)
- Aanvalsroute
- Via het netwerk of internet
- Aanvalscode openbaar
- Nee