Sicherheitshinweise

Die Sicherheitsforscher von Qualys haben am 15.05.2026 Informationenen zu einer Logiklücke in der Linux-Funktion "__ptrace_may_access()" veröffentlicht, durch die ein unprivilegierter Benutzer sensible Dateien (z.B. den SSH-Key) auslesen und auch beliebige Befehle als Root ausführen kann (CVE-2026-46333: Local Root Privilege Escalation and Credential Disclosure in the Linux Kernel ptrace Path).

Nach eingehender Prüfung können wir in Bezug auf unsere Produkte folgendes mitteilen:

• LCOS sowie LCOS SX 3.xx sind von der Sicherheitslücke nicht betroffen, da kein Linux verwendet wird.
• LCOS SX 4.x, LCOS SX 5.x sowie LCOS LX verwenden zwar Linux. Es ist aber nicht möglich die Sicherheitslücke auszunutzen, da kein eigener Code ausgeführt werden kann. Die Sicherheitslücke im Kernel wird in einer der kommenden Releases behoben.
• Die R&S®LANCOM Management Cloud (R&S®LMC) ist nicht betroffen. Die darunter liegende LMC-Infrastruktur wird zeitnah aktualisiert.
• LCOS FX ist betroffen, wenn die Docker-Funktion verwendet wird. Wir stufen dieses Problem jedoch als nicht kritisch ein, da LCOS FX Docker-VMs ohne Root-Benutzer verwendet ("rootless mode"). Dadurch ist sichergestellt, dass keine Container mit erhöhten Berechtigungen auf dem zugrunde liegenden System ausgeführt werden können. Generell sollten nur Docker-Container aus vertrauenswürdigen Quellen verwendet werden. Ein Update zur Behebung der Sicherheitslücke wird in das kommende LCOS FX Release aufgenommen.

Sicherheitsforscher des Red Teams der Deutschen Telekom haben am 22.04.2026 Informationen zur "Pack2TheRoot" Sicherheitslücke in Linux veröffentlicht, durch die ein unauthorisierter Angreifer System-Pakete mit dem Dienst PackageKit entfernen oder hinzufügen und dadurch Root-Rechte erlangen kann (Pack2TheRoot (CVE-2026-41651): Cross-Distro Local Privilege Escalation Vulnerability).

R&S Networks and Cybersecurity Hard- und Software-Produkte sind von der Sicherheitslücke nicht betroffen.

Der Sicherheitsforscher William Bowling hat am 13.05.2026 Informationen zur "Fragnesia" Sicherheitslücke in Linux veröffentlicht, durch die ähnlich wie bei der "DirtyFrag" Sicherheitslücke mittels Manipulation des Page-Caches des Dienstes xfrm-ESP Root-Rechte erlangt werden können (Fragnesia).

Nach eingehender Prüfung können wir in Bezug auf unsere Produkte folgendes mitteilen:

• LCOS sowie LCOS SX 3.xx sind von der Sicherheitslücke nicht betroffen, da kein Linux verwendet wird.
• LCOS SX 4.x, LCOS SX 5.x sowie LCOS LX verwenden zwar Linux. Es ist aber nicht möglich die Sicherheitslücke auszunutzen, da kein eigener Code ausgeführt werden kann. Die Sicherheitslücke im Kernel wird in einer der kommenden Releases behoben.
• Die R&S®LANCOM Management Cloud (R&S®LMC) ist nicht betroffen. Die darunter liegende LMC-Infrastruktur wird zeitnah aktualisiert.
• LCOS FX ist betroffen, wenn die Docker-Funktion verwendet wird. Wir stufen dieses Problem jedoch als nicht kritisch ein, da LCOS FX Docker-VMs ohne Root-Benutzer verwendet ("rootless mode"). Dadurch ist sichergestellt, dass keine Container mit erhöhten Berechtigungen auf dem zugrunde liegenden System ausgeführt werden können. Generell sollten nur Docker-Container aus vertrauenswürdigen Quellen verwendet werden. Ein Update zur Behebung der Sicherheitslücke wird in das kommende LCOS FX Release aufgenommen.

Der Sicherheitsforscher Hyunwoo Kim hat am 07.05.2026 Informationen zur "Dirty Frag" Sicherheitslücke in Linux veröffentlicht, durch die mittels Manipulation des Page-Caches der Dienste xfrm-ESP und RxRPC Root-Rechte erlangt werden können (Dirty Frag: Universal Linux LPE).

Nach eingehender Prüfung können wir in Bezug auf unsere Produkte folgendes mitteilen:

• LCOS sowie LCOS SX 3.xx sind von der Sicherheitslücke nicht betroffen, da kein Linux verwendet wird.
• LCOS SX 4.x, LCOS SX 5.x sowie LCOS LX verwenden zwar Linux. Es ist aber nicht möglich die Sicherheitslücke auszunutzen, da kein eigener Code ausgeführt werden kann. Die Sicherheitslücke im Kernel wird in einer der kommenden Releases behoben.
• Die R&S®LANCOM Management Cloud (R&S®LMC) ist nicht betroffen. Die darunter liegende LMC-Infrastruktur wird zeitnah aktualisiert.
• LCOS FX ist betroffen, wenn die Docker-Funktion verwendet wird. Wir stufen dieses Problem jedoch als nicht kritisch ein, da LCOS FX Docker-VMs ohne Root-Benutzer verwendet ("rootless mode"). Dadurch ist sichergestellt, dass keine Container mit erhöhten Berechtigungen auf dem zugrunde liegenden System ausgeführt werden können. Generell sollten nur Docker-Container aus vertrauenswürdigen Quellen verwendet werden. Ein Update zur Behebung der Sicherheitslücke wird in das kommende LCOS FX Release aufgenommen.

In den Medien wurde über die Linux-Sicherheitslücke „Copy Fail“ berichtet (CVE-2026-31431), welche Angreifer, die bereits Zugriff auf ein System haben, zum Erlangen von root-Rechten missbrauchen können (siehe auch Artikel bei heise.de).

Nach eingehender Prüfung können wir in Bezug auf unsere Produkte folgendes mitteilen:

• LCOS sowie LCOS SX 3.xx sind von der Sicherheitslücke nicht betroffen, da kein Linux-Kernel verwendet wird.
• Bei LCOS SX 4.x, LCOS SX 5.x sowie LCOS LX kann die Sicherheitslücke nicht ausgenutzt werden, da kein benutzereigener Code ausgeführt werden kann. Die Sicherheitslücke im Kernel wird in einer der kommenden Releases behoben.
• Die R&S®LANCOM Management Cloud (R&S®LMC) ist nicht betroffen. Die darunter liegende LMC-Infrastruktur wird zeitnah mit Security-Fixen aktualisiert.
• LCOS FX ist betroffen, wenn die Docker-Funktion verwendet wird. Wir stufen dieses Problem jedoch als nicht kritisch ein, da LCOS FX eine rootlose Containerisolation verwendet, die sicherstellt, dass keine Container mit erhöhten Berechtigungen auf dem zugrunde liegenden System ausgeführt werden können. Stellen Sie dennoch sicher, dass innerhalb der Container nur vertrauenswürdiger Code ausgeführt wird. Ein Update zur Behebung der Sicherheitslücke wird in das kommende LCOS FX Release aufgenommen.

Sicherheitsforscher von Qualys haben eine Reihe von Sicherheitslücken in dem Linux-Tool AppArmor gefunden, durch die beliebige AppArmor-Profile geladen, ersetzt oder auch gelöscht werden konnten, was Angreifern mit einfachen Berechtigungen durch Local Privilege Escalations die Erlangung von Root-Rechten ermöglicht (CrackArmor: Multiple vulnerabilities in AppArmor).

R&S®LANCOM Unified Firewalls mit LCOS FX verwenden AppArmor und sind somit auch von der Sicherheitslücke betroffen. Rohde & Schwarz Networks and Cybersecurity stuft die Sicherheitslücke als weniger kritisch ein, da es keine bekannte Möglichkeit gibt, die einfachen Berechtigungen initial zu erlangen.

Die Sicherheitslücke ist in LCOS FX 11.2 RU1 und 11.1 RU9 behoben. LCOS FX 11.2 RU1 steht bereits über das Lizenz-Portal sowie über den Online-Updater zum Download bereit. LCOS FX 11.1 RU9 wird kurzfristig erscheinen. Rohde & Schwarz Networks and Cybersecurity empfiehlt, ein Update auf eine der beiden Versionen vorzunehmen.

Alle anderen R&S Networks and Cybersecurity Hard- und Software-Produkte sind von der Sicherheitslücke nicht betroffen.

Unser OEM-Partner NCP hat eine Sicherheitslücke im LANCOM Trusted Access Client behoben, durch die mithilfe einer modifizierten OpenSSL-Konfigurations-Datei kompromittierte dynamische Programmbibliotheken (*.dll) geladen und mit System-Rechten ausgeführt werden konnten (NCPVE-2025-1015). 

Die Sicherheitslücke ist im LANCOM Trusted Access Client in der Version 6.25 (Windows) und 1.01 (macOS) behoben. R&S Networks and Cybersecurity empfiehlt dringend, ein Update auf diese Versionen vorzunehmen (Download-Portal). 

Sicherheitsforscher von der University of California und der KU Leuven haben mittels einer bekannten Lücke in der WLAN-Client-Isolation ein Angriffs-Szenario entwickelt, mit der die Client-Isolation umgangen und durch Machine-in-the-Middle-Attacken (MitM) Datenverkehr von anderen WLAN-Clients abgefangen werden kann (Paper AirSnitch: Demystifying and Breaking Client Isolation in Wi-Fi Networks).

Rohde & Schwarz Networks and Cybersecurity sieht in diesem Angriffs-Szenario keine neue Schwachstelle. Der Bypass der Client-Isolation an sich kann nur in WLAN-Netzwerken ausgenutzt werden, in denen die Client-Isolation auch verwendet wird (z.B. in Gast-Netzwerken). Die grundlegenden Angriffsmechanismen können auch in WLAN-Netzwerken ohne Client-Isolation angewandt werden, wozu sich der Angreifer aber bereits im WLAN befinden muss. Zur Verbesserung der Sicherheit ist es generell empfehlenswert, die WLAN-Netzwerke per VLAN (oder ggf. auch WLC-Tunnel) voneinander zu trennen. Zusätzlich sollte auf dem Gateway die Kommunikation zwischen den Netzwerken per Firewall-Regel oder Schnittstellen-Tags unterbunden werden.

R&S®LANCOM Access Points und WLAN-Router mit LCOS und Access Points mit LCOS LX bieten Funktionen zur Client-Isolation. Die Konfiguration dieser Geräte kann so angepasst werden, dass das Angriffs-Szenario nicht ausgenutzt werden kann. Die entsprechenden Konfigurations-Punkte sind in den folgenden Knowledge Base Artikeln beschrieben:

Best-Practice-Empfehlungen zur Isolierung des Datenverkehrs von WLAN-Clients bei Access Points und WLAN-Routern mit LCOS

Best-Practice-Empfehlungen zur Isolierung des Datenverkehrs von WLAN-Clients bei Access Points mit LCOS LX

Rohde & Schwarz Networks and Cybersecurity hat eine Sicherheitslücke gefunden, die es angemeldeten Administratoren mit der Berechtigung zur Erstellung von Backups ermöglicht Code auszuführen.

Rohde & Schwarz Networks and Cybersecurity stuft die Sicherheitslücke als weniger kritisch ein, da diese nur durch Administratoren mit umfassenden Berechtigungen ausgenutzt werden kann, welche nur an vertrauenswürdiges Personal vergeben werden sollten.

Die Sicherheitslücke ist in LCOS FX 11.1 SU8 und in LCOS FX 11.2 Rel behoben. Diese stehen über den Online-Updater sowie das Lizenz-Portal zum Download bereit. Rohde & Schwarz Networks and Cybersecurity empfiehlt ein Update auf eine der fehlerbereinigten Versionen vorzunehmen.

Alle anderen R&S Networks and Cybersecurity Hard- und Software-Produkte sind von der Sicherheitslücke nicht betroffen.

Durch eine Kunden-Meldung haben wir eine Sicherheitslücke im Paketfilter gefunden, die bewirkt, dass bei Verwendung von Host- / Netzwerk-Gruppen oder VPN-Gruppen in bestimmten Konfigurationen die Filter-Regeln nicht erwünschten Datenverkehr erlauben (CVE-2025-67832). Weiterführende Informationen sowie einen Workaround finden Sie in diesem Knowledge Base Artikel.

Die Sicherheitslücke betrifft LCOS FX bis einschließlich Version 11.1 RU6. Das Verhalten ist in LCOS FX 11.1 RU7 und in LCOS FX 11.2 Rel behoben. Rohde & Schwarz Networks and Cybersecurity empfiehlt dringend, ein Update auf eine der fehlerbereinigten Versionen vorzunehmen.

Aufgrund der Sicherheitslücke wird Rohde & Schwarz Networks and Cybersecurity die Zertifizierung für die "Beschleunigte Sicherheitszertifizierung" (BSZ) des BSI für LCOS FX 10.11 RU4 (für UF-360) beenden und empfiehlt dringend, ein Update auf eine der fehlerbereinigten Versionen vorzunehmen.

Alle anderen R&S Networks and Cybersecurity Hard- und Software-Produkte sind von der Sicherheitslücke nicht betroffen.

In den Medien wurde eine Sicherheitslücke im SSH-Server Dropbear veröffentlicht, welche es einem Angreifer ermöglicht, Rechte im System auszuweiten (siehe CVE-2025-14282).

Dropbear kommt teilweise in unseren Produkten zum Einsatz. Unsere Analyse hat jedoch ergeben, dass die betroffenen Versionen nicht genutzt werden.

R&S Networks and Cybersecurity Produkte sind von dieser Sicherheitslücke daher nicht betroffen.

Die Entwickler von strongSwan haben am 27.10.2025 eine Meldung zu einer Sicherheitslücke im eap-mschapv2 Plugin in strongSwan veröffentlicht, durch die potentiell beliebiger Code (Remote Code Execution) mittels eines Buffer-Overflows ausgeführt werden kann (CVE-2025-62291).

LANCOM R&S®Unified Firewalls mit LCOS FX verwenden zwar strongSwan, allerdings wird das betroffene eap-mschapv2 Plugin nicht verwendet. Daher sind LANCOM R&S®Unified Firewalls mit LCOS FX von der Sicherheitslücke nicht betroffen.

Alle anderen LANCOM Hard- und Software-Produkte verwenden strongSwan nicht und sind somit von der Sicherheitslücke ebenfalls nicht betroffen.

In den Medien wurden Artikel zu einer Sicherheitslücke in Redis veröffentlicht (Security-Advisory auf Github), durch die potentiell beliebiger Code (Remote Code Execution) mittels eines Buffer-Overflows ausgeführt werden kann (CVE-2025-62507).

R&S®LANCOM Unified Firewalls mit LCOS FX verwenden Redis in einer nicht betroffenen Version und sind somit auch von der Sicherheitslücke nicht betroffen.

Alle anderen R&S Networks and Cybersecurity Hard- und Software-Produkte verwenden Redis nicht und sind somit von der Sicherheitslücke ebenfalls nicht betroffen.

Am 12.09.2025 veröffentlichten die Entwickler von Squid ein Security Advisory mit einer Sicherheitslücke, durch die Angreifer an Zugangsdaten von authentifizierten Benutzern gelangen können (CVE-2025-62168).

R&S®LANCOM Unified Firewalls mit LCOS FX verwenden Squid in einer betroffenen Version. Allerdings lassen die integrierten Fehler-Seiten keine Ausnutzung der Sicherheitslücke zu und die Fehler-Seiten können auch nicht durch den Administrator bearbeitet werden. Daher sind R&S®LANCOM Unified Firewalls mit LCOS FX von der Sicherheitslücke nicht betroffen.

Alle anderen R&S Networks and Cybersecurity Hard- und Software-Produkte verwenden den Dienst Squid nicht und sind somit von der Sicherheitslücke ebenfalls nicht betroffen.

Am 03.10.2025 hat der Hersteller der Datenbank Redis in einem Security Advisory eine Sicherheitslücke veröffentlicht, durch die Angreifer mittels eines speziell präparierten Lua-Skriptes ein “use-after-free“ auslösen und dadurch potentiell beliebigen Code ausführen können (CVE-2025-49844).

R&S®LANCOM Unified Firewalls mit LCOS FX verwenden Redis in einer betroffenen Version und sind somit auch von der Sicherheitslücke betroffen. Allerdings kann die Redis-Datenbank ausschließlich auf dem Cluster-Link zwischen zwei Unified Firewalls in einem HA-Cluster angesprochen werden und ist somit weder aus dem Internet, noch aus dem LAN ansprechbar.

Da der Cluster-Link eines HA-Clusters aufgrund der Konfigurations-Übertragung besonders geschützt ist (direkte Kabel-Verbindung), stuft Rohde & Schwarz Networks and Cybersecurity das Risiko in diesem Szenario als unkritisch ein. Aus diesem Grund wird es keine Rückportierung in LCOS FX 10.13 geben. Die Sicherheitslücke ist in LCOS FX 11.1 RU6 behoben (download). Ein entsprechendes Update für LCOS FX-I wird in Form von LCOS FX-I 1.2 RU2 veröffentlicht.

Alle anderen R&S Networks and Cybersecurity Hard- und Software-Produkte verwenden den Dienst Redis nicht und sind somit von der Sicherheitslücke nicht betroffen.

Unser OEM-Partner NCP hat eine Sicherheitslücke im Advanced VPN Client / LTA-Client gemeldet, durch die Angreifer auf Systemen mit Windows 10 während der Installation, einem Update oder der Deinstallation administrative Rechte erlangen und beliebigen Code ausführen konnten.

Unser OEM-Partner hat die Sicherheitslücke bereits behoben. Rohde & Schwarz Networks and Cybersecurity stellt die fehlerbereinigte Version 6.24 ab sofort zum Download bereit.

Unter Windows 11 kann die Sicherheitslücke nicht ausgenutzt werden. Für Kunden, deren Systeme noch mit älteren Windows-Versionen arbeiten, empfiehlt Rohde & Schwarz Networks and Cybersecurity daher dringend ein Update auf die fehlerbereinigte Advanced VPN Client Version 6.24 durchzuführen oder ein Upgrade auf Windows 11 vorzunehmen.

Am 01.08.2025 wurde eine Sicherheitslücke in Squid veröffentlicht (CVE-2025-54574), durch die ein DoS-Angriff (Denial of Service) per „Heap Buffer Overflow“ und potenziell auch beliebiger Code ausgeführt werden kann (Remote Code Execution).

R&S®LANCOM Unified Firewalls mit LCOS FX verwenden Squid in einer betroffenen Version und sind somit auch von der Sicherheitslücke betroffen.

Rohde & Schwarz Networks and Cybersecurity hat die Sicherheitslücke bereits behoben und stellt entsprechende Software-Versionen zum Download bereit:

• LCOS FX 11.1 SU5 (download)
• LCOS FX 10.13 SU9 (download)
• LCOS FX-I 1.2 RU1 (wenden Sie sich bzgl. des Downloads bitte an Ihren Projekt-Ansprechpartner)

Alle anderen R&S Networks and Cybersecurity Hard- und Software-Produkte verwenden den Dienst Squid nicht und sind somit von der Sicherheitslücke nicht betroffen.

Am 13.08.2025 veröffentlichten israelische Sicherheitsforscher Informationen zur „MadeYouReset“ Sicherheitslücke (CVE-2025-8671), über die Web-Server mit HTTP/2-Unterstützung durch Senden ungültiger Pakete dazu gebracht werden können, den Stream mit einem RST zu beenden. Dies kann zur Durchführung von DoS-Angriffen (Denial of Service) auf entsprechende Web-Server verwendet werden.

R&S Networks and Cybersecurity Hardware- und Software-Produkte sind von dieser Schwachstelle nicht betroffen.

Dank einer Kundenmeldung konnten wir ein Problem beim Access Point LANCOM LW-500 beheben. Es betraf IPv4- und IPv6-Pakete mit unvollständigen Headern, die nach einiger Zeit den Betrieb des Access Points stoppten. Das Gerät war erst nach einem Neustart durch Stromunterbrechung wieder betriebsbereit.

Sollte es zu dem beschriebenen Verhalten kommen, kann dieses durch Deaktivieren der hardwarebeschleunigten Paketweiterleitung per Kommandozeilenbefehl unterbunden werden. Beachten Sie, dass der Access Point bei deaktivierter Funktion eine höhere Prozessorlast aufweist.

Das oben beschriebene Verhalten könnte theoretisch für einen Denial-of-Service-Angriff (DoS) ausgenutzt werden, wenn ein potentieller Angreifer sich im kabelgebundenen Netzwerk befindet, was einen physikalischen Zugriff auf das Netzwerk voraussetzt. Per WLAN kann das Verhalten nicht ausgelöst werden. Das Risiko wird daher seitens Rohde & Schwarz Networks and Cybersecurity als gering bewertet.

Andere Access Points mit LCOS LX sind von dem Verhalten nicht betroffen.

Für den LW-500 wurde die LCOS LX-Firmware Version 5.36 RU4 veröffentlicht (download). Die Firmware enthält eine Funktion, mit welcher die hardwarebeschleunigte Paketweiterleitung deaktiviert werden kann. 

Eine Anleitung zur Aktivierung und Deaktivierung der Funktion erhalten Sie in den Release Notes von LCOS LX 5.36 RU4 auf Seite 4.

Am 24.03.2025 haben die Sicherheitsforscher von Wiz, Inc Informationen zu einer Sicherheitslücke in NGINX veröffentlicht. Dies betrifft die Schwachstellen CVE-2025-1097, CVE-2025-1098, CVE-2025-24514 und CVE-2025-1974. Darüber konnten Angreifer ohne Authentifizierung beliebigen Code ausführen (RCE).

Die Public R&S®LMC sowie sämtliche Private-LMC-Instanzen wurden direkt nachdem Rohde & Schwarz Networks and Cybersecurity Kenntnis von dieser Sicherheitslücke erlangt hat, aktualisiert, sodass die Sicherheitslücke nicht ausgenutzt werden kann.

Die Sicherheitsforscher Mathy Vanhoef und Angelos Beitis haben Schwachstellen in den Tunnel-Protokollen GRE, GUE, IPIP, 4in6 und 6in4 entdeckt. Darüber können Angreifer unter Anderem Zugriff auf ein privates Netzwerk einer Organisation erlangen und auch Denial-of-Service-Attacken ausführen.

Da es sich um Schwachstellen in den Tunnel-Protokollen selbst handelt, ist die Konfiguration der Geräte ausschlaggebend, ob diese von den Schwachstellen betroffen sind oder nicht.

Die Betriebssysteme LCOS FX, LCOS LX, LCOS SX sowie die LANtools und die R&S®LMC sind von den Schwachstellen nicht betroffen, da diese keine Tunnel-Protokolle unterstützen.

Das Betriebssystem LCOS unterstützt die Tunnel-Protokolle GRE, IPIP, 4in6 und 6in4. Das Protokoll IPIP wird allerdings nur innerhalb eines verschlüsselten IPSec-Tunnels unterstützt und kann somit nicht angegriffen werden. Die Tunnel-Protokolle werden in der Standard-Konfiguration nicht verwendet, sodass Router mit LCOS ohne entsprechende Konfigurations-Änderungen nicht betroffen sind.

Qualcomm hat in einem Security Bulletin über die Schwachstelle CVE-2024-43047 informiert, über die potentielle Angreifer durch Ausnutzen eines "Use-After-Free" Speicher korrumpieren und potentiell beliebigen Code ausführen können. Qualcomm teilt in dem Security Bulletin (unter "Announcements") ebenfalls mit, dass die Sicherheitslücke bereits aktiv ausgenutzt wird.

LANCOM Hardware- und Software-Produkte sind von dieser Schwachstelle nicht betroffen.

Das Unternehmen SSD Secure Disclosure hat am 05.09.2024 Informationen zu einer Sicherheitslücke im LCOS veröffentlicht, über die Angreifer einen „Heap Overflow“ im Webinterface auslösen können. Dieser führt zu einem unvermittelten Neustart des Gerätes (DoS-Attacke). 

Die Kommunikation zwischen den Geräten und der R&S®LMC ist von diesem Verhalten nicht betroffen, da die Kommunikation initial vom Gerät ausgeht.

Rohde & Schwarz Networks and Cybersecurity hat die Sicherheitslücke bereits behoben und stellt die fehlerbereinigten Versionen im Download-Bereich zur Verfügung. Rohde & Schwarz Networks and Cybersecurity empfiehlt dringend, diese Versionen schnellstmöglich auf Ihren Geräten einzuspielen. Die fehlerbereinigten Firmware-Versionen werden voraussichtlich ab Mitte KW 38 auch über den Auto-Updater zur Verfügung stehen.

• Aktuelle Firmware-Versionen:
  • LCOS 10.80 SU8 (download)
  • LCOS 10.72 SU10 (download)
  • LCOS 10.50 SU15 (download)
• Darüber hinaus stellt Rohde & Schwarz Networks and Cybersecurity folgende EOL-Firmware-Versionen zur Verfügung:
  • LCOS 10.42 SU14 (download)
  • LCOS 10.34 SU6 (download)
  • LCOS 10.20 SU12 (download)
  • LCOS 10.12 SU17 (download)
  • LCOS 9.24 SU13 (download)

Bis zum Einspielen der fehlerbereinigten Firmware in den Router sollten die Web-Server-Dienste auf dem WAN (Abschnitt 3) und die Funktion IPSec-over-HTTPS auf dem Router deaktiviert werden. Bitte beachten Sie, dass VPN-Verbindungen dadurch nur noch mit IPSec aufgebaut werden können und einige Advanced VPN Client Verbindungen gegebenenfalls nicht mehr funktionieren. 

In Public Spot Szenarien können die Web-Server-Dienste nicht deaktiviert werden, ohne dass die Hotspot-Funktionalität deaktiviert wird. In einem solchen Szenario empfiehlt Rohde & Schwarz Networks and Cybersecurity daher, die fehlerbereinigte Firmware umgehend in das Gerät einzuspielen.

Rohde & Schwarz Networks and Cybersecurity empfiehlt generell den Zugriff auf das Webinterface aus dem WAN zu verbieten bzw. auf VPN-Verbindungen einzuschränken (Abschnitt 1) oder zumindest auf bestimmte Netzwerke und/oder IP-Adressen einzuschränken (Abschnitt 2). 

Alan de Kok (Gründer und Leiter von FreeRADIUS) hat Informationen zu einer Schwachstelle im RADIUS-Protokoll veröffentlicht (VU#456537). Dadurch kann ein Angreifer bei Verwendung von RADIUS/UDP über eine man-in-the-middle Attacke ein „Access-Reject“ des RADIUS-Servers in ein „Access-Accept“ für das anfragende Gerät wandeln.

Dies führt dazu, dass das anfragende Gerät Zugriff auf das Netzwerk erhält. Generell muss die Schwachstelle auf dem RADIUS-Server behoben werden. Bei Geräten, welche als RADIUS-Client fungieren, kann optional die Forcierung des „Message-Authenticators“ aktiviert werden. 

LANCOM R&S®Unified Firewalls mit LCOS FX sind von dem Verhalten nicht betroffen, da diese lediglich als RADIUS-Client für IKEv2 i.V.m. EAP verwendet werden können. EAP setzt das Vorhandensein des „Message Authenticators“ voraus. Der R&S®LANCOM Advanced VPN Client ist ebenfalls nicht betroffen.

R&S®LANCOM Router und Access Points mit LCOS, R&S®LANCOM Access Points mit LCOS LX sowie R&S®LANCOM Switches mit LCOS SX sind von dem Verhalten betroffen. 
Die Schwachstelle ist in den folgenden Firmware-Versionen behoben (RADIUS-Server) bzw. kann über die Funktion „Require Message-Authenticator“ mitigiert werden (RADIUS-Client):

LCOS (RADIUS-Server und -Client):

• 10.50 RU14 (download)
• 10.72 RU8 (download)
• 10.80 RU6 (download)

LCOS LX (RADIUS-Client):

• LCOS LX 6.20 Rel – Veröffentlichung voraussichtlich im August 2024 

LCOS SX (RADIUS-Client):

• 3.34 SU8 (download)
• 4.00 SU13 (download)
• 4.20 SU3 (download)
• 4.30 Rel (download)
• 5.20 SU9 (download)

Weitere Handlungs-Empfehlungen zu dieser Sicherheitslücke finden Sie in diesem Knowledge Base Artikel. 

Die Qualys Threat Research Unit veröffentlichte am 01.07.2024 Informationen zu einer Sicherheitslücke im OpenSSH Server auf glibc-basierten Linux-Systemen, durch die Angreifer beliebigen Code ausführen können (Remote Code Execution).

LANCOM Hard- und Software-Produkte sind von dieser Sicherheitslücke nicht betroffen, da der OpenSSH-Server entweder nicht oder in einer nicht betroffenen Version verwendet wird.

In den Medien wurde eine Sicherheitslücke veröffentlicht, mit der ein Angreifer Root-Rechte in Linux erlangen kann (CVE-2024-1086).

R&S®LANCOM Router und Access Points mit LCOS sowie Switches mit LCOS SX 3.xx sind von dieser Sicherheitslücke nicht betroffen, da kein Linux verwendet wird.

LANCOM R&S®Unified Firewalls mit LCOS FX, R&S®LANCOM Access Points mit LCOS LX sowie R&S®LANCOM Switches mit LCOS SX 4.xx und 5.xx verwenden Linux, sind nach unserer Analyse von der Sicherheitslücke aber nicht betroffen.

Am 28.05.2024 hat das OpenSSL Project eine Sicherheitslücke in OpenSSL veröffentlicht, durch die Angreifer verschiedenartige Attacken ausführen können (Ausführen von beliebigem Code, DoS-Attacke, Manipulation von Daten).

R&S®LANCOM Router und Access Points mit LCOS sind von der Sicherheitslücke nicht betroffen, da der TLS-Stack von OpenSSL in LCOS nicht verwendet wird.

LANCOM R&S®Unified Firewalls mit LCOS FX, R&S®LANCOM Switches mit LCOS SX 3.xx / 4.xx / 5.xx sowie R&S®LANCOM Access Points mit LCOS LX verwenden OpenSSL in einer betroffenen Version. Allerdings wird die Funktion „SSL_free_buffers“ in keinem der Betriebssysteme aktiv verwendet, sodass diese von der Sicherheitslücke nicht betroffen sind.

Das „Black Lotus Labs“-Team von Lumen Technologies hat am 01.05.2024 Informationen zur Cuttlefish-Malware veröffentlicht, die mit Linux betriebene Netzwerkgeräte infiziert. Darüber können die Angreifer potentiell jeglichen Netzwerkverkehr auf den betroffenen Geräten mitlesen.

R&S®LANCOM Router und Access Points mit LCOS sowie Switches mit LCOS SX 3.xx können durch diese Malware nicht infiziert werden, da kein Linux verwendet wird.

LANCOM R&S®Unified Firewalls mit LCOS FX, R&S®LANCOM Access Points mit LCOS LX und R&S®LANCOM Switches mit LCOS SX 4.xx und 5.xx verwenden Linux, allerdings gibt es keinen bekannten Angriffsvektor, um die Malware auf den Geräten zu platzieren.

In den Medien wurden Informationen zur 5Ghoul-Schwachstelle in 5G-Modems veröffentlicht, über welche Angreifer Denial-of-Service-Attacken ausführen können. Das von Rohde & Schwarz Networks and Cybersecurity verwendete 5G-Modem EM9191 reagiert laut Aussage des Herstellers Sierra Wireless auf die Sicherheitslücken CVE-2023-33042, CVE-2023-33043 und CVE-2023-33044.

Die folgenden LANCOM 5G-Router sind von der Schwachstelle betroffen. Rohde & Schwarz Networks and Cybersecurity hat die Schwachstelle in der WWAN-Firmware 03.14.10.01 behoben. Aus Kompatibilitätsgründen empfiehlt Rohde & Schwarz Networks and Cybersecurity zusätzlich ein Update auf LCOS 10.80 RU5 vorzunehmen. Beide Firmware-Versionen stehen in unserem Download-Portal zur Verfügung.

• 1926VAG-5G
• 1900EF-5G
• 1800EF-5G (bis einschließlich HW-Release B)

Alle anderen LANCOM 5G-Router sind von der Schwachstelle nicht betroffen.

Die Leviathan Security Group veröffentlichte am 06.05.2024 Informationen zur Tunnelvision-Sicherheitslücke (CVE-2024-3661), welche auf Endgeräte mit VPN-Clients abzielt. Damit können Angreifer mittels der DHCP-Option 121 Endgeräten neben der IP-Adresse eine statische Route zuweisen, sodass Datenverkehr am VPN-Tunnel vorbeigeleitet wird und die Angreifer den Datenverkehr mitlesen können.

Diese Schwachstelle nutzt als Angriffs-Vektor das Routing im Betriebssystem der Endgeräte aus. Daher sind LANCOM Router, Access Points, LANCOM R&S®Unified Firewalls sowie die R&S®LMC nicht davon betroffen.

Der Advanced VPN Client / LANCOM Trusted Access Client ist von der Schwachstelle betroffen. Allerdings können Angreifer nur die initiale Nachricht für den Aufbau der VPN-Verbindung mitlesen. Da das Firmen-Netzwerk nicht über den vom Angreifer bezogenen Routing-Eintrag erreicht werden kann, ist auch keine Kommunikation mit diesem Netzwerk möglich.

Rohde & Schwarz Networks and Cybersecurity empfiehlt folgende Gegenmaßnahmen:

• In öffentlichen Netzwerken sollte auf Split Tunneling verzichtet und stattdessen jeglicher Datenverkehr über den VPN-Tunnel geleitet werden (Option Alles durch den Tunnel im Advanced VPN Client in dem verwendeten Profil unter Split Tunneling bzw. Gesamter Netzwerkverkehr (LANCOM Trusted Internet Access - Full Tunnel) in der Konfiguration des LANCOM Trusted Access Clients in der R&S®LMC unter Sicherheit - LANCOM Trusted Access - Client-Konfiguration).
• Auf einem Mobil-Telefon kann ein Hotspot erstellt und das Notebook mit diesem verbunden werden. Da das Netzwerk von dem Mobil-Telefon kontrolliert wird, sollte ein Angreifer keine Zugriffsmöglichkeit auf dieses Netzwerk haben. Verfügt das Notebook über ein integriertes Mobilfunk-Modem, kann dieses auch direkt per Mobilfunk mit dem Internet verbunden werden.

Am 14.05.2024 hat der Sicherheitsforscher Mathy Vanhoef in seinem Paper SSID Confusion: Making Wi-Fi Clients connect to the Wrong Network Informationen zu einer Schwachstelle im WLAN-Standard veröffentlicht. Darin wird beschrieben, wie ein Angreifer mittels eines Man-in-the-Middle-Angriffs einen WLAN-Client auf eine andere SSID auf einem „Rogue AP“ leiten kann, sofern die gleichen Zugangsdaten verwendet werden (eine solche Konstellation wird teils in eduroam-Umgebungen verwendet).

Mathy Vanhoef berichtet in seinem Paper, dass sich einige VPN-Clients in bekannten/sicheren Netzwerken deaktivieren. Dadurch kann vermeintlich sichere Kommunikation von einem Angreifer mitgeschnitten werden. Der Advanced VPN Client / LANCOM Trusted Access Client verfügt zwar eine Erkennung für bekannte/sichere Netzwerke, allerdings arbeitet diese nicht auf Basis von WLAN-Netzwerken (SSIDs). Daher tritt das von Mathy Vanhoef beobachtete Verhalten mit dem Advanced VPN Client / LANCOM Trusted Access Client nicht auf.

Da es sich um eine Schwachstelle im WLAN-Standard handelt, kann diese bei Verwendung von 802.1X und unter bestimmten Voraussetzungen auch von WPA3 auch mit LANCOM-Produkten ausgenutzt werden. Sollte der WLAN-Standard entsprechend aktualisiert werden, wird Rohde & Schwarz Networks and Cybersecurity schnellstmöglich Anpassungen in der Firmware vornehmen.

Rohde & Schwarz Networks and Cybersecurity empfiehlt daher in entsprechenden Szenarien WPA2 zu verwenden oder – sofern möglich – WLAN-Netzwerke mit unterschiedlichen Zugangsdaten zu verwenden.

Durch eine Kunden-Rückmeldung konnten wir eine Sicherheitslücke im LCOS beheben, durch die nach Schreiben einer vollständigen Konfiguration (z.B. eine *.lcf Datei) mit einem weiteren Administrator mit Supervisor-Berechtigung das Passwort des Administrators „root“ zurückgesetzt – und damit gelöscht - wurde.

LCOS ist ab der Version 10.80 RU1 von dieser Sicherheitslücke betroffen. Niedrigere LCOS-Versionen bzw. andere LANCOM Betriebssysteme sind nicht betroffen. Das Verhalten ist in der LCOS-Version 10.80 SU4 behoben.

Ein unautorisierter Zugriff auf den Router über das WAN (Internet) ist durch diese Sicherheitslücke nicht möglich.

In Public Spot-Szenarien mit einem separaten Gastnetzwerk ist durch die Verwendung von VLAN oder einem WLC-Tunnel ein Management-Zugriff aus dem Gastnetzwerk auf die Access Points nicht möglich und damit eine Gefährdung ausgeschlossen.

Sicherheitslücke in LCOS 10.80 SU4 behoben:

Rohde & Schwarz Networks and Cybersecurity empfiehlt dringend die fehlerbereinigte LCOS-Version 10.80 SU4 einzuspielen (download).

Die Medien berichten über eine Sicherheitslücke, bei welcher die unzulässige Verarbeitung von HTTP/2 Headern und Continuation Frames DoS-Angriffe aufgrund von Netzwerkbandbreite oder CPU-Auslastung ermöglicht.

Die Details zu dieser Sicherheitslücke sind im Blog des Sicherheitsforschers Bartek Nowotarski zusammen gefasst.

LANCOM Software- und Hardware-Produkte sind von dieser Sicherheitslücke nicht betroffen, da das HTTP/2-Protokoll dort nicht zum Einsatz kommt.

Am 29.03.2024 wurden Informationen zu einer Backdoor in den XZ Utils veröffentlicht (CVE-2024-3094), durch die Angreifer eigenen Code ausführen können (Remote Code Execution).

LANCOM Hard- und Software-Produkte sind von dieser Sicherheitslücke nicht betroffen.