https://feed.xonatec.ch/produkte/wireguard Priorisierte Schwachstellen-Reports für WireGuard. Kostenlos & offen, stündlich aktualisiert. de Tue, 14 Jul 2026 00:00:00 GMT xonatec TI-Feed RSS Generator https://feed.xonatec.ch/reports/cve-2026-38704 https://feed.xonatec.ch/reports/cve-2026-38704 Tue, 14 Jul 2026 00:00:00 GMT In der WireGuard-VPN-Funktion mehrerer InHand-Networks-Router-Firmwares besteht eine Command-Injection-Schwachstelle. Betroffen sind laut Quelle IR302 (V3.5.108), IR305, IR315 und IR615 (jeweils V1.0.118) sowie ältere Versionen. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Severity: Kritisch · CVSS: 9.8 · EPSS: 0.2% Betroffene Produkte: wireguard KritischWireGuard https://feed.xonatec.ch/reports/cve-2026-44343 https://feed.xonatec.ch/reports/cve-2026-44343 Tue, 14 Jul 2026 00:00:00 GMT WGDashboard, eine Weboberfläche zur Verwaltung von WireGuard-VPNs, weist vor Version 4.3.2 kritische Schwachstellen auf, die es unbefugten Parteien ohne Authentifizierung ermöglichen, auf das Dateisystem des Host-Systems zuzugreifen. CVSS-Basiswert: 9.8 (Kritisch). Eine aktive Ausnutzung über CISA KEV oder ein Einsatz in Ransomware-Kampagnen ist nicht belegt. Empfohlene Massnahme: auf WGDashboard 4.3.2 aktualisieren, in der die Schwachstelle behoben ist. Severity: Kritisch · CVSS: 9.8 Betroffene Produkte: wireguard KritischWireGuard https://feed.xonatec.ch/reports/cve-2026-10665 https://feed.xonatec.ch/reports/cve-2026-10665 Tue, 14 Jul 2026 00:00:00 GMT Im WireGuard-Subsystem von Zephyr wird eine eingehende Transportdaten-Nutzlast vor der Entschlüsselung in einen festen Pufferbereich linearisiert, wobei die vom Angreifer beeinflusste Länge zugleich als Zielkapazität und als Kopierlänge dient und so die interne Begrenzung ausser Kraft setzt. Überschreitet die Länge die Puffergrösse, schreibt der zugrundeliegende memcpy über das Pufferende hinaus (Out-of-Bounds-Write, CWE-787). Da der Überlauf vor der Poly1305-Authentifizierung auftritt, genügt ein gültiger Empfänger-Sitzungsindex, wodurch ein bösartiger oder kompromittierter Peer aus dem Netzwerk eine Speicherbeschädigung und mindestens einen zuverlässigen Denial of Service auslösen kann. Betroffen ist die in Zephyr 4.4.0 ausgelieferte WireGuard-Implementierung. CVSS-Basiswert: 7.4 (Hoch). Empfohlene Massnahme: den Fix einspielen, der Längen oberhalb der Puffergrösse ablehnt und den Linearisierungsaufruf korrigiert. Severity: Hoch · CVSS: 7.4 · EPSS: 0.4% Betroffene Produkte: wireguard HochWireGuard https://feed.xonatec.ch/reports/cve-2026-52945 https://feed.xonatec.ch/reports/cve-2026-52945 Tue, 14 Jul 2026 00:00:00 GMT Im Linux-Kernel wurde eine Schwachstelle behoben, indem die Aktivierung von Threaded NAPI im WireGuard-Gerätetreiber wieder rückgängig gemacht wurde. Der Fehler kann die Verfügbarkeit beeinträchtigen. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: die vom Distributor bereitgestellten Kernel-Updates einspielen. Severity: Hoch · CVSS: 7.5 · EPSS: 0.3% Betroffene Produkte: amazon-linux-alas, oracle-linux-elsa, rocky-linux, wireguard HochAmazon Linux (ALAS)Oracle Linux (ELSA)Rocky LinuxWireGuard https://feed.xonatec.ch/reports/cve-2026-34227 https://feed.xonatec.ch/reports/cve-2026-34227 Tue, 14 Jul 2026 00:00:00 GMT Das Command-and-Control-Framework Sliver nutzt einen eigenen WireGuard-Netstack. In Versionen vor 1.7.4 genügt ein einziger Klick auf einen präparierten Link, um einem nicht authentifizierten Angreifer über den Browser des Operators sofortige und unbemerkte Kontrolle über sämtliche aktiven C2-Sitzungen und Beacons zu verschaffen. Darüber lassen sich alle gesammelten Zieldaten (etwa SSH-Schlüssel oder ntds.dit) exfiltrieren oder die kompromittierte Infrastruktur zerstören. CVSS-Basiswert: 8.8 (Hoch). Eine aktive Ausnutzung über CISA KEV oder ein Einsatz in Ransomware-Kampagnen ist nicht belegt. Empfohlene Massnahme: auf Version 1.7.4 aktualisieren. Severity: Hoch · CVSS: 8.8 Betroffene Produkte: wireguard HochWireGuard https://feed.xonatec.ch/reports/cve-2026-32241 https://feed.xonatec.ch/reports/cve-2026-32241 Tue, 14 Jul 2026 00:00:00 GMT Flannel ist ein Netzwerk-Fabric für Container in Kubernetes. In Versionen vor 0.28.2 ist das experimentelle Extension-Backend anfällig für Command Injection: Ein Angreifer, der Kubernetes-Node-Annotationen setzen kann, erreicht damit auf jedem Flannel-Node im Cluster beliebige Befehlsausführung mit Root-Rechten. Die Kommandos SubnetAddCommand und SubnetRemoveCommand erhalten über stdin angreiferkontrollierte Daten aus der Annotation flannel.alpha.coreos.com/backend-data, deren Inhalt ohne Prüfung entpackt und direkt an eine Shell weitergereicht wird. Andere Backends wie vxlan und wireguard sind nicht betroffen. CVSS-Basiswert: 7.5 (Hoch). Empfohlene Massnahme: Update auf Version 0.28.2 einspielen; als Übergangslösung ein anderes Backend wie vxlan oder wireguard verwenden. Severity: Hoch · CVSS: 7.5 Betroffene Produkte: wireguard HochWireGuard https://feed.xonatec.ch/reports/cve-2026-29194 https://feed.xonatec.ch/reports/cve-2026-29194 Tue, 14 Jul 2026 00:00:00 GMT Netmaker baut WireGuard-Netzwerke auf. In Versionen vor 1.5.0 validiert die Authorize-Middleware Host-JWT-Tokens fehlerhaft: Erlaubt eine Route die Host-Authentifizierung, umgeht ein gültiges Host-Token alle nachfolgenden Autorisierungsprüfungen, ohne zu verifizieren, dass der Host auf die konkret angefragte Ressource zugreifen darf. Wer Objektkennungen wie Node- oder Host-IDs kennt, kann mit einem beliebigen gültigen Host-Token Ressourcen anderer Hosts lesen, ändern oder löschen; betroffen sind unter anderem Node-Abfragen, Host-Löschung, MQTT-Signalübertragung sowie Fallback- und Failover-Operationen. CVSS-Basiswert: 8.1 (Hoch). Empfohlene Massnahme: Update auf Version 1.5.0 einspielen. Severity: Hoch · CVSS: 8.1 Betroffene Produkte: wireguard HochWireGuard https://feed.xonatec.ch/reports/cve-2026-27899 https://feed.xonatec.ch/reports/cve-2026-27899 Tue, 14 Jul 2026 00:00:00 GMT In WireGuard Portal (wg-portal), einem webbasierten Konfigurationsportal zur WireGuard-Server-Verwaltung, kann sich vor Version 2.1.3 jeder authentifizierte Nicht-Admin-Benutzer selbst zum vollwertigen Administrator machen. Dazu genügt eine einzelne PUT-Anfrage an den eigenen Profil-Endpunkt mit dem Feld IsAdmin auf true im JSON-Body; nach erneutem An- und Abmelden übernimmt die Sitzung die Admin-Rechte aus der Datenbank. Ursache ist, dass die Funktion zum Schützen berechneter Attribute das Feld IsAdmin nicht auf den Datenbankwert festhält, sodass der vom Client gesendete Wert direkt gespeichert wird. CVSS-Basiswert: 8.8 (Hoch). Eine aktive Ausnutzung über CISA KEV oder ein Einsatz in Ransomware-Kampagnen ist nicht belegt. Empfohlene Massnahme: auf Version 2.1.3 aktualisieren; das Docker-Image mit dem Tag latest aus dem master-Branch enthält den Fix ebenfalls. Severity: Hoch · CVSS: 8.8 Betroffene Produkte: wireguard HochWireGuard https://feed.xonatec.ch/reports/cve-2022-50917 https://feed.xonatec.ch/reports/cve-2022-50917 Tue, 14 Jul 2026 00:00:00 GMT ProtonVPN 1.26.0 enthält in der Konfiguration seines WireGuard-Dienstes eine Schwachstelle durch einen nicht in Anführungszeichen gesetzten Dienstpfad (Unquoted Service Path), über die lokale Angreifer potenziell beliebigen Code ausführen können. Durch das Platzieren manipulierter ausführbarer Dateien an bestimmten Stellen im Dateisystem lässt sich der ungeschützte Pfad ausnutzen, um beim Start des Dienstes erhöhte Rechte zu erlangen. CVSS-Basiswert: 7.8 (Hoch). Eine aktive Ausnutzung über CISA KEV oder ein Einsatz in Ransomware-Kampagnen ist nicht belegt. Severity: Hoch · CVSS: 7.8 Betroffene Produkte: wireguard HochWireGuard https://feed.xonatec.ch/reports/cve-2023-32077 https://feed.xonatec.ch/reports/cve-2023-32077 Tue, 14 Jul 2026 00:00:00 GMT In Netmaker, das Netzwerke mit WireGuard aufbaut, wurde vor den Versionen 0.17.1 und 0.18.6 ein fest codierter DNS-Schlüssel gefunden. Dadurch können nicht authentifizierte Nutzer mit den DNS-API-Endpunkten interagieren. Das Problem ist in 0.17.1 behoben und in 0.18.6 endgültig korrigiert. CVSS-Basiswert: 7.5 (Hoch). Eine aktive Ausnutzung über CISA KEV oder ein Einsatz in Ransomware-Kampagnen ist nicht belegt. Empfohlene Massnahme: Nutzer von 0.17.1 spielen das gepatchte Docker-Image ein (docker pull gravitl/netmaker:v0.17.1 und docker-compose up -d); Nutzer von 0.18.0 bis 0.18.5 aktualisieren auf 0.18.6 oder neuer. Severity: Hoch · CVSS: 7.5 Betroffene Produkte: wireguard HochWireGuard https://feed.xonatec.ch/reports/cve-2022-36110 https://feed.xonatec.ch/reports/cve-2022-36110 Tue, 14 Jul 2026 00:00:00 GMT In Netmaker, das Netzwerke auf Basis von WireGuard aufbaut, führen fehlerhafte Autorisierungsprüfungen dazu, dass nicht privilegierte Benutzer privilegierte API-Aufrufe ausführen können. Werden Benutzer ohne Admin-Rechte zur Plattform hinzugefügt, lassen sich deren Auth-Tokens verwenden, um über die API Funktionen auf Administratorebene auszuführen. CVSS-Basiswert: 8.8 (Hoch). Eine aktive Ausnutzung über CISA KEV oder ein Einsatz in Ransomware-Kampagnen ist nicht belegt. Empfohlene Massnahme: auf Netmaker Version 0.15.1 oder neuer aktualisieren, in der das Problem behoben ist. Severity: Hoch · CVSS: 8.8 Betroffene Produkte: wireguard HochWireGuard https://feed.xonatec.ch/reports/cve-2022-23650 https://feed.xonatec.ch/reports/cve-2022-23650 Tue, 14 Jul 2026 00:00:00 GMT Netmaker, eine Plattform zum Erstellen und Verwalten virtueller Overlay-Netzwerke mit WireGuard, enthält vor den Versionen 0.8.5, 0.9.4 und 0.10.0 einen fest im Code hinterlegten kryptografischen Schlüssel. Kennt ein Angreifer Adresse und Benutzernamen des Administrators, kann er darüber Admin-Befehle auf einem entfernten Server ausführen. Betroffen ist die Server-Komponente (Netmaker), nicht die Clients. CVSS-Basiswert: 7.2 (Hoch). Eine aktive Ausnutzung über CISA KEV oder ein Einsatz in Ransomware-Kampagnen ist nicht belegt. Empfohlene Massnahme: auf Netmaker v0.8.5, v0.9.4 oder v0.10.0 aktualisieren; Umgehungslösungen sind laut Quelle nicht bekannt. Severity: Hoch · CVSS: 7.2 Betroffene Produkte: wireguard HochWireGuard https://feed.xonatec.ch/reports/cve-2026-8913 https://feed.xonatec.ch/reports/cve-2026-8913 Tue, 14 Jul 2026 00:00:00 GMT In der WireGuard-Client-Konfiguration des Archer MR600 v5 besteht eine Command-Injection-Schwachstelle, weil benutzergesteuerte Eingaben im Web-Management-Interface unzureichend neutralisiert werden. Ein authentifizierter Angreifer mit Administratorrechten kann beim Anwenden von Konfigurationsänderungen beliebige Befehle ausführen. Eine erfolgreiche Ausnutzung kann zur vollständigen Kompromittierung von Vertraulichkeit, Integrität und Verfügbarkeit des betroffenen Geräts führen. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Eine aktive Ausnutzung über CISA KEV oder ein Einsatz in Ransomware-Kampagnen ist nicht belegt. Severity: Mittel · EPSS: 0.9% Betroffene Produkte: wireguard MittelWireGuard https://feed.xonatec.ch/reports/cve-2026-32941 https://feed.xonatec.ch/reports/cve-2026-32941 Tue, 14 Jul 2026 00:00:00 GMT Sliver ist ein Command-and-Control-Framework, das einen eigenen WireGuard-Netstack nutzt. In Versionen 1.7.3 und darunter besteht in der mTLS- und WireGuard-Transportschicht des Sliver-C2-Servers eine Schwachstelle zur entfernten Speichererschöpfung (Remote OOM): Die betroffenen Funktionen vertrauen einem angreiferkontrollierten 4-Byte-Längenpräfix zur Speicherallokation, wobei Einzelanforderungen von bis zu rund 2 GiB möglich sind. Ein kompromittierter Implant oder ein Angreifer mit gültigen Zugangsdaten kann über bis zu 128 gleichzeitige yamux-Streams gefälschte Längenpräfixe senden und den Server zu einer Allokation von rund 256 GiB zwingen, was einen OOM-Kill auslöst, den Server zum Absturz bringt, alle aktiven Implant-Sitzungen stört und weitere Prozesse auf demselben Host beeinträchtigen kann. CVSS-Basiswert: 6.5 (Mittel). Zum Zeitpunkt der Veröffentlichung lag kein Fix vor. Severity: Mittel · CVSS: 6.5 Betroffene Produkte: wireguard MittelWireGuard https://feed.xonatec.ch/reports/cve-2026-29196 https://feed.xonatec.ch/reports/cve-2026-29196 Tue, 14 Jul 2026 00:00:00 GMT In Netmaker, das Netzwerke auf Basis von WireGuard aufbaut, kann ein Benutzer mit der Rolle platform-user vor Version 1.5.0 die privaten WireGuard-Schlüssel aller WireGuard-Konfigurationen eines Netzwerks abrufen, indem er GET /api/extclients/{network} oder GET /api/nodes/{network} aufruft. Während die Netmaker-Oberfläche die Sichtbarkeit einschränkt, liefern die API-Endpunkte vollständige Datensätze inklusive privater Schlüssel zurück, ohne nach der Eigentümerschaft des anfragenden Benutzers zu filtern. CVSS-Basiswert: 4.3 (Mittel). Eine aktive Ausnutzung über CISA KEV oder ein Einsatz in Ransomware-Kampagnen ist nicht belegt. Empfohlene Massnahme: auf Netmaker Version 1.5.0 oder neuer aktualisieren, in der das Problem behoben ist. Severity: Mittel · CVSS: 4.3 Betroffene Produkte: wireguard MittelWireGuard https://feed.xonatec.ch/reports/cve-2026-29771 https://feed.xonatec.ch/reports/cve-2026-29771 Tue, 14 Jul 2026 00:00:00 GMT Netmaker erstellt Netzwerke auf Basis von WireGuard. In Versionen vor 1.2.0 erlaubt der Endpunkt /api/server/shutdown, den Netmaker-Serverprozess per SIGINT-Signal zu beenden. Dadurch kann jeder Benutzer den Server wiederholt herunterfahren und einen zyklischen Denial of Service mit Neustartintervallen von rund drei Sekunden auslösen. CVSS-Basiswert: 6.5 (Mittel). Empfohlene Massnahme: auf Version 1.2.0 aktualisieren. Severity: Mittel · CVSS: 6.5 Betroffene Produkte: wireguard MittelWireGuard https://feed.xonatec.ch/reports/cve-2026-25760 https://feed.xonatec.ch/reports/cve-2026-25760 Tue, 14 Jul 2026 00:00:00 GMT Sliver ist ein Command-and-Control-Framework, das einen eigenen WireGuard-Netstack nutzt. Vor Version 1.6.11 erlaubt ein Path-Traversal im Website-Content-Subsystem einem authentifizierten Operator, beliebige Dateien auf dem Sliver-Server-Host zu lesen. Über dieses authentifizierte Auslesen können Zugangsdaten, Konfigurationen und Schlüssel offengelegt werden. CVSS-Basiswert: 6.5 (Mittel). Eine aktive Ausnutzung über CISA KEV oder ein Einsatz in Ransomware-Kampagnen ist nicht belegt. Empfohlene Massnahme: auf Version 1.6.11 aktualisieren. Severity: Mittel · CVSS: 6.5 Betroffene Produkte: wireguard MittelWireGuard https://feed.xonatec.ch/reports/cve-2025-68216 https://feed.xonatec.ch/reports/cve-2025-68216 Tue, 14 Jul 2026 00:00:00 GMT Im Linux-Kernel wurde eine Schwachstelle auf der LoongArch-Architektur behoben: Die bisherige BPF-Trampolin-Implementierung war mit dem Tracing von Funktionen in Kernelmodulen unverträglich und konnte zu Kernel-Hängern führen. Unter anderem kam es bei kritischen Modulen wie WireGuard zu Störungen des Netzwerkverkehrs, wenn deren Funktionen per fentry nachverfolgt wurden. Als vorläufige Massnahme unterbindet der Patch Trampolin-Attachments an Kernelmodul-Funktionen auf LoongArch vollständig. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Eine aktive Ausnutzung über CISA KEV oder ein Einsatz in Ransomware-Kampagnen ist nicht belegt. Empfohlene Massnahme: den Kernel auf eine Version mit dem Fix aktualisieren. Severity: Mittel Betroffene Produkte: wireguard MittelWireGuard https://feed.xonatec.ch/reports/cve-2025-27093 https://feed.xonatec.ch/reports/cve-2025-27093 Tue, 14 Jul 2026 00:00:00 GMT Sliver, ein Command-and-Control-Framework mit eigenem WireGuard-Netstack, beschränkt in Version 1.5.43 und früher sowie in der Entwicklungsversion 1.6.0-dev den Verkehr zwischen WireGuard-Clients nicht. Dadurch können Clients uneingeschränkt miteinander kommunizieren, was etwa geleakte oder wiederhergestellte Schlüsselpaare zu Angriffen gegen Operatoren nutzbar macht oder Port-Weiterleitungen für andere Implantate erreichbar werden lässt. CVSS-Basiswert: 6.3 (Mittel). Eine aktive Ausnutzung über CISA KEV oder ein Einsatz in Ransomware-Kampagnen ist nicht belegt. Empfohlene Massnahme: auf eine korrigierte Version aktualisieren. Severity: Mittel · CVSS: 6.3 Betroffene Produkte: wireguard MittelWireGuard https://feed.xonatec.ch/reports/cve-2025-59824 https://feed.xonatec.ch/reports/cve-2025-59824 Tue, 14 Jul 2026 00:00:00 GMT Omni verwaltet Kubernetes auf Bare Metal, in virtuellen Maschinen oder in der Cloud. In Versionen vor 0.48.0 lässt sich aus der WireGuard-SideroLink-Verbindung ausbrechen: Omni und jede Talos-Maschine bauen eine Peer-to-Peer-SideroLink-Verbindung über WireGuard auf. Die WireGuard-Schnittstelle auf Omni prüft zwar, dass die Quell-IP eines eingehenden Pakets zur IPv6-Adresse des Talos-Peers passt, validiert aber die Zieladresse nicht. Da das Talos-Ende nicht als vertrauenswürdig gelten kann, könnten Workloads mit Host-Networking direkten Zugriff auf diese Verbindung erlangen und darüber beliebige Pakete senden. CVSS-Basiswert: 5.4 (Mittel). Empfohlene Massnahme: Update auf Version 0.48.0 einspielen. Severity: Mittel · CVSS: 5.4 Betroffene Produkte: wireguard MittelWireGuard https://feed.xonatec.ch/reports/cve-2025-59054 https://feed.xonatec.ch/reports/cve-2025-59054 Tue, 14 Jul 2026 00:00:00 GMT dstack ist ein SDK, das die Bereitstellung beliebiger containerisierter Anwendungen in vertrauenswürdigen Ausführungsumgebungen vereinfacht. In Versionen vor 0.5.4 kann ein bösartiger Host einer dstack-CVM einen präparierten LUKS2-Datenträger als /data-Mount unterschieben. Da LUKS2-Metadaten nicht authentifiziert sind und Null-Verschlüsselungsalgorithmen zulassen, öffnet der Gast das Volume und schreibt geheime Daten mit einem dem Angreifer bekannten Schlüssel, wodurch WireGuard-Schlüssel und weitere geheime Informationen offengelegt werden; der Angreifer kann zudem Daten vorab platzieren und so die Ausführung im Gast kompromittieren. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Eine aktive Ausnutzung über CISA KEV oder ein Einsatz in Ransomware-Kampagnen ist nicht belegt. Empfohlene Massnahme: auf Version 0.5.4 aktualisieren, die die LUKS-Header absichert. Severity: Mittel Betroffene Produkte: wireguard MittelWireGuard https://feed.xonatec.ch/reports/cve-2022-49153 https://feed.xonatec.ch/reports/cve-2022-49153 Tue, 14 Jul 2026 00:00:00 GMT Im WireGuard-Socket-Code des Linux-Kernels wird beim Senden über send6() erwartet, dass der Socket-Buffer (skb) freigegeben wird. Ist CONFIG_IPV6 deaktiviert, fehlt jedoch der Aufruf von kfree_skb(), wodurch es zu einem Speicherleck kommt. Der Patch ergänzt die fehlende Freigabe und behebt den Fehler. CVSS-Basiswert: 5.5 (Mittel). Eine aktive Ausnutzung über CISA KEV oder ein Einsatz in Ransomware-Kampagnen ist nicht belegt. Empfohlene Massnahme: den bereitgestellten Kernel-Fix einspielen. Severity: Mittel · CVSS: 5.5 Betroffene Produkte: wireguard MittelWireGuard https://feed.xonatec.ch/reports/cve-2024-50046 https://feed.xonatec.ch/reports/cve-2024-50046 Tue, 14 Jul 2026 00:00:00 GMT Im Linux-Kernel wurde eine Schwachstelle im NFSv4-Code behoben: Wurden auf einem NFS-Client Dateien innerhalb desselben NFS-Servers an einen anderen Ort kopiert, konnte die Funktion nfs42_complete_copies() eine NULL-Pointer-Dereferenzierung auslösen und den Kernel zum Absturz bringen. CVSS-Basiswert: 5.5 (Mittel). Eine aktive Ausnutzung über CISA KEV oder ein Einsatz in Ransomware-Kampagnen ist nicht belegt. Empfohlene Massnahme: den Kernel auf eine Version mit dem Fix aktualisieren. Severity: Mittel · CVSS: 5.5 Betroffene Produkte: wireguard MittelWireGuard https://feed.xonatec.ch/reports/cve-2024-26950 https://feed.xonatec.ch/reports/cve-2024-26950 Tue, 14 Jul 2026 00:00:00 GMT Im WireGuard-Modul des Linux-Kernels wird beim Netlink-Zugriff das Gerät nun über den Kontext (ctx->wg) statt über den Peer angesprochen. Das behebt den zuvor korrigierten Fehler, bei dem ein NULL-Zeiger auf peer->device dereferenziert werden konnte, ist performanter und wirkt zusätzlich als Schutz gegen bereits freigegebene Peers. CVSS-Basiswert: 5.5 (Mittel). Eine aktive Ausnutzung über CISA KEV oder ein Einsatz in Ransomware-Kampagnen ist nicht belegt. Empfohlene Massnahme: den behobenen Kernel-Stand einspielen. Severity: Mittel · CVSS: 5.5 Betroffene Produkte: wireguard MittelWireGuard https://feed.xonatec.ch/reports/cve-2024-28250 https://feed.xonatec.ch/reports/cve-2024-28250 Tue, 14 Jul 2026 00:00:00 GMT Cilium ist eine Netzwerk-, Observability- und Sicherheitslösung mit einem eBPF-basierten Datenpfad. In Versionen ab 1.14.0 und vor 1.14.8 bzw. 1.15.2 wird bei aktiviertem WireGuard und Verkehr, der Layer-7-Richtlinien unterliegt, WireGuard-fähiger Datenverkehr zwischen dem Envoy- bzw. DNS-Proxy eines Knotens und Pods auf anderen Knoten unverschlüsselt übertragen. CVSS-Basiswert: 6.1 (Mittel). Behoben in Cilium 1.14.8 und 1.15.2 im nativen Routing-Modus sowie in Cilium 1.14.4 im Tunnel-Modus (dort muss encryption.wireguard.encapsulate auf true gesetzt sein). Einen Workaround gibt es laut Quelle nicht. Empfohlene Massnahme: auf eine korrigierte Cilium-Version aktualisieren. Severity: Mittel · CVSS: 6.1 Betroffene Produkte: wireguard MittelWireGuard https://feed.xonatec.ch/reports/cve-2024-25630 https://feed.xonatec.ch/reports/cve-2024-25630 Tue, 14 Jul 2026 00:00:00 GMT Bei Cilium-Installationen, die CRDs zur Speicherung des Cilium-Status (Standardkonfiguration) zusammen mit WireGuard Transparent Encryption nutzen, wird der Verkehr zu und von den Ingress- und Health-Endpunkten nicht verschlüsselt. Betroffen ist Cilium v1.14 vor v1.14.7; behoben wurde das Problem in v1.14.7. CVSS-Basiswert: 6.1 (Mittel). Eine aktive Ausnutzung über CISA KEV oder ein Einsatz in Ransomware-Kampagnen ist nicht belegt. Empfohlene Massnahme: auf Cilium v1.14.7 aktualisieren, da kein Workaround verfügbar ist. Severity: Mittel · CVSS: 6.1 Betroffene Produkte: wireguard MittelWireGuard https://feed.xonatec.ch/reports/cve-2023-35838 https://feed.xonatec.ch/reports/cve-2023-35838 Tue, 14 Jul 2026 00:00:00 GMT Der WireGuard-Client 0.5.3 unter Windows konfiguriert Betriebssystem und Firewall so, dass Datenverkehr zu einem lokalen Netzwerk mit Nicht-RFC1918-IP-Adressen blockiert wird. Dadurch kann ein Angreifer das Opfer dazu bringen, den IP-Verkehr zu ausgewählten Adressen und Diensten selbst bei aktivem VPN zu blockieren. Die Kennung wird auf der Seite tunnelcrack.mathyvanhoef.com allgemeiner für einen LocalNet-Angriff mit Blockierung von Datenverkehr verwendet und nicht nur auf WireGuard bezogen. CVSS-Basiswert: 5.7 (Mittel). Severity: Mittel · CVSS: 5.7 Betroffene Produkte: wireguard, microsoft-windows MittelWireGuardMicrosoft Windows https://feed.xonatec.ch/reports/cve-2021-46873 https://feed.xonatec.ch/reports/cve-2021-46873 Tue, 14 Jul 2026 00:00:00 GMT WireGuard, etwa WireGuard 0.5.3 unter Windows, berücksichtigt nicht vollständig, dass ein Angreifer die Systemzeit des Opfers auf einen zukünftigen Wert setzen könnte, beispielsweise weil unauthentifiziertes NTP verwendet wird. Dies kann dazu führen, dass ein statischer privater Schlüssel dauerhaft unbrauchbar wird. CVSS-Basiswert: 5.3 (Mittel). Severity: Mittel · CVSS: 5.3 Betroffene Produkte: wireguard, microsoft-windows MittelWireGuardMicrosoft Windows