返回技術公告
資安通知嚴重程度重大CVSS9.1

OPNsense 多項 root 指令注入漏洞，請更新至 26.1.8 以上

OPNsense

OPNsense 於 2026 年 4 月 9 日至 5 月 12 日的 26.1.6、26.1.7、26.1.8 三次更新，修正多項可取得 root 權限或繞過登入限制的漏洞。26.1.6：LDAP 驗證未跳脫登入帳號（CVE-2026-34578），未經驗證者可注入 LDAP 查詢條件以列舉帳號；若以「Extended Query」限制群組，還可繞過群組限制登入，影響網頁登入及使用相同 LDAP 驗證的 VPN、Captive Portal 等服務。26.1.7：具「XMLRPC Library」權限者可透過 restore_config_section 以 root 執行指令（CVE-2026-44193）；未經驗證者可重設登入失敗計數，繞過網頁與 SSH 密碼登入的鎖定機制（CVE-2026-44195，中度）。26.1.8：具使用者管理權限者可透過帳號名稱以 root 執行指令（CVE-2026-44194）；具介面設定權限（page-interfaces）者可在使用 DHCPv4 的介面主機名稱欄位注入設定，以 root 執行指令（CVE-2026-45158）。

影響版本

  • CVE-2026-34578：OPNsense 社群版 26.1.5 及更早版本
  • CVE-2026-44193、CVE-2026-44195：OPNsense 社群版 26.1.6 及更早版本
  • CVE-2026-44194、CVE-2026-45158：OPNsense 社群版 26.1.7 及更早版本

已修正版本

  • OPNsense 社群版26.1.8 以上2026-05-12 發布，五項皆已修正
  • 截至 2026-11-04，社群版最新版為26.7.82026-10-30 發布

建議處理方式

  1. 於網頁介面「System → Firmware → Status」更新至最新版本（26.7.x），仍在 26.1.x 者至少更新至 26.1.8
  2. 檢視「System → Access → Users / Groups」，使用者管理、介面設定、XMLRPC Library 等權限只授予必要人員，並撤銷不需要的 API 金鑰
  3. 使用 LDAP 並以 Extended Query 限制群組的環境，更新後檢查網頁登入、VPN、Captive Portal 等服務的驗證記錄，確認沒有不符群組授權條件的帳號登入

暫時無法更新時

  • 限制網頁管理介面、API / XMLRPC 及 SSH 只允許必要的管理來源存取
  • 撤銷非必要的使用者管理、介面設定及 XMLRPC 權限，並評估使用相同 LDAP 驗證的對外服務
  • 以上為依漏洞條件提出的風險降低建議，無法取代版本更新

如何確認是否受影響

  • 於網頁介面首頁或「System → Firmware → Status」查看版本；社群版低於 26.1.8 即有本公告所列漏洞未修正，實際可利用條件依功能設定與帳號權限而定
  • 於主控台執行 opnsense-version 查看版本

參考來源

GHSA-jpm7-f59c-mp54：CVE-2026-34578 LDAP 驗證注入github.comGHSA-xxp9-93cr-x54p：CVE-2026-44193 XMLRPC restore_config_section 遠端執行github.comGHSA-h3vx-4q27-rc42：CVE-2026-44195 登入鎖定繞過github.comGHSA-f59w-m967-9rf6：CVE-2026-44194 使用者管理遠端執行github.comGHSA-5rx3-w735-74wm：CVE-2026-45158 DHCP 設定指令注入github.comNVD：CVE-2026-45158nvd.nist.govCVE 紀錄（GitHub CNA）：CVE-2026-45158www.cve.orgOPNsense 26.1.6 Changeloggithub.comOPNsense 26.1.7 Changeloggithub.comOPNsense 26.1.8 Changeloggithub.comOPNsense 26.7 系列發布紀錄docs.opnsense.orgCISA Known Exploited Vulnerabilities Catalogwww.cisa.gov

本文依原廠與公開漏洞資料庫資訊整理，實際影響請以原廠公告為準。

相關公告