Ubiquiti hat zwei Schwachstellen in seiner Verwaltungssoftware UniFi Network Application korrigiert. Die Anwendung, die auch unter dem Namen UniFi Controller bekannt ist, dient der Konfiguration, Überwachung und Optimierung von UniFi-Netzwerkgeräten wie Access Points, Switches und Gateways. Nach Angaben des Herstellers ist der bevorzugte Weg zum Betrieb von UniFi Network die Installation auf einem UniFi Cloud Gateway statt auf einem Server, Laptop oder in einer anderen selbst gehosteten Umgebung.
Die schwerwiegendere der beiden Lücken trägt die Kennung CVE-2026-22557 und erreicht die höchstmögliche Schweregradeinstufung. Betroffen sind die UniFi Network Application in Version 10.1.85 und älteren Versionen; die korrigierten Fassungen tragen die Versionsnummer 10.1.89 oder höher.
Bei erfolgreicher Ausnutzung können Angreifer ohne Privilegien eine Path-Traversal-Schwachstelle nutzen, um auf Dateien des zugrunde liegenden Systems zuzugreifen und darüber möglicherweise Benutzerkonten zu übernehmen. Die Attacken sind laut Ubiquiti von geringer Komplexität und kommen ohne Zutun des Nutzers aus. In seinem am Mittwoch veröffentlichten Hinweis beschreibt das Unternehmen, ein Angreifer mit Netzwerkzugang könne über die Lücke auf Dateien des darunterliegenden Systems zugreifen, die sich so manipulieren ließen, dass darüber der Zugriff auf ein Konto möglich werde.
Die zweite behobene Schwachstelle ist eine authentifizierte NoSQL-Injection in der UniFi Network Application. Sie erlaubt es einem Angreifer mit authentifiziertem Netzwerkzugang, seine Rechte auszuweiten.
Ubiquiti-Produkte sind in den vergangenen Jahren wiederholt ins Visier sowohl staatlich unterstützter Hackergruppen als auch von Cyberkriminellen geraten, die die Geräte gekapert haben, um Botnetze zur Verschleierung schädlicher Aktivitäten aufzubauen. Im Februar 2024 zerschlug das FBI ein Botnetz aus kompromittierten Routern mit Ubiquiti Edge OS, das vom russischen Militärgeheimdienst GRU genutzt wurde, um schädlichen Datenverkehr bei Angriffen auf die USA und ihre Verbündeten umzuleiten.