Angeet ES3 KVM: OS-Command Injection via cfg.lua

Beschreibung

Der Angeet ES3 KVM bereinigt benutzerseitig eingeschleuste Variablen im Script cfg.lua nicht korrekt. Ein authentifizierter Angreifer kann dadurch OS-Befehle auf Systemebene ausführen. CVSS-Basiswert: 9.1 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in KVM/QEMU

• Lima: Unautorisierter Zugriff im QEMU-Treiber-Betrieb CVE-2026-53657
• JetKVM: Fehlendes Rate Limiting bei Login-Anfragen – Brute-Force möglich CVE-2026-32295
• Angeet ES3 KVM: Unauthentiziertes Schreiben beliebiger Dateien CVE-2026-32297
• Linux-Kernel (KVM/x86): Use-after-free im Shadow Paging durch unerwartete Rolle CVE-2026-53359
• Linux-Kernel: KVM/SEV verlangt In-GHCB-Scratch-Area bei GHCB v2+ CVE-2026-53360
• Linux-Kernel – Schwachstelle in der KVM-Speicherbehandlung CVE-2026-53345