Warten auf Sicherheitspatch: Zugangsdaten von Acer-Wave-7-Router einsehbar

Angreifer können die volle Kontrolle über Wave-7-Router von Acer erlangen. Schuld sind zwei „kritische“ Sicherheitslücken mit Höchstwertung, gegen die es bislang kein Sicherheitsupdate gibt. Acer stellt den Patch für Ende Juni in Aussicht.

Zugangsdaten einsehbar

In einer Warnmeldung führt der Hardwarehersteller aus, dass beide Lücken (CVE-2026-49200, CVE-2026-49201) mit dem maximalen CVSS Score 10 von 10 eingestuft sind. Der Hersteller gibt an, dass davon alle Router bis inklusive der Firmware T7c_GBL_1.01.000055 bedroht sind.

Aufgrund einer fehlenden Abschottung können Angreifer ohne Authentifizierung über das Webinterface auf die Firmware von Routern zugreifen und dort die Datei acer_cgi.log einsehen. Darin finden sich unverschlüsselte Zugangsdaten, sodass Angreifern im Anschluss die volle Kontrolle über Geräte erlangen.

Im zweiten Fall können Angreifer auf die upload.cgi-Binary zum Verarbeiten von Gerätebackups zugreifen und Firmwares modifizieren. So können sie etwa eine Hintertür im Code platzieren. Wie solche Attacken im Detail ablaufen, ist bislang unklar. Aufgrund der kritischen Einstufung ist aber davon auszugehen, dass Angreifer keine großen Hürden für eine erfolgreiche Attacke überwinden müssen.

Router vom Internet trennen

Weil es derzeit keinen Sicherheitspatch und auch keine Übergangslösung zum Absichern der Router gibt, sollten Besitzer das Gerät von Internet trennen, um Angreifern keinen Ansatzpunkt zu geben. Da ein Router der Eingang ins eigene Netzwerk ist, gilt er als besonders schützenswert. Bislang gibt es seitens Acer keine Hinweise darauf, dass Angreifer bereits Geräte attackieren. Das kann sich aber schnell ändern.

Mitte März wurden Sicherheitslücken in TP-Links Router der Archer-Serie bekannt, die unter anderem ebenfalls das Flashen einer manipulierten Firmware ermöglichten.

(des)