UniFi Security Advisory Bulletin 038: Warum schnelles Patchen kritischer Systeme zählt

Im März 2024 veröffentlichte Ubiquiti das Security Advisory Bulletin 038: Eine Command-Injection-Schwachstelle in selbstgehosteten UniFi Network Servern (Linux) mit der UniFi Network Application in Version 8.0.28 oder älter erlaubte es Angreifern mit gültigen Administrator-Zugangsdaten, ihre Rechte bis auf Root-Ebene des Hostsystems auszuweiten – mit einem CVSS-Basiswert von 9,1 als „kritisch“ eingestuft (CVE-2024-27981).

Was betroffen war

Betroffen waren ausschließlich selbstgehostete UniFi-Network-Installationen unterhalb Version 8.1.113 – Cloud-Key-Geräte und die Cloud-gehostete Variante waren nicht in gleicher Weise gefährdet. Der Fix war denkbar einfach: ein Update auf Version 8.1.113 oder höher, das die Lücke schließt. Wer heute eine aktuelle UniFi-Network-Version einsetzt, ist längst nicht mehr betroffen.

Die eigentliche Lehre: Patchmanagement ist kein Nice-to-have

Der konkrete Fall ist inzwischen behoben – die dahinterliegende Lektion bleibt aktuell. Netzwerk-Controller wie UniFi Network verwalten zentrale Infrastruktur: Access Points, Switches, Firewalls, ganze VLAN-Konzepte. Eine Schwachstelle an dieser Stelle kann im schlimmsten Fall das gesamte Netzwerk kompromittieren. Wer selbstgehostete Systeme betreibt, trägt die Verantwortung für zeitnahes Patchen selbst – anders als bei Cloud-Diensten, bei denen der Anbieter Updates zentral ausrollt.

Was wir daraus für unsere Kunden ableiten

Wir überwachen Sicherheitswarnungen relevanter Hersteller wie Ubiquiti aktiv und spielen kritische Updates für unsere Kunden zeitnah ein – im Rahmen unserer Managed Services läuft das im Hintergrund, ohne dass Sie sich selbst um jede einzelne CVE kümmern müssen.

Praxistipp: Selbstgehosteten Controller per DHCP Option 43 anbinden

Selbstgehostete UniFi Network Server stehen oft in einem eigenen Server-Netz, getrennt von Access Points und Switches. Neue Geräte in anderen Subnetzen finden den Controller dann nicht per Broadcast. Abhilfe schafft DHCP Option 43: Der DHCP-Server teilt den Geräten die Controller-Adresse gleich beim Bezug ihrer IP-Adresse mit. Den passenden HEX-Wert für Firewall oder Windows Server berechnet unser kostenloser DHCP Option Rechner.

Fazit

Ob UniFi, Firewall oder Server-Betriebssystem: Kritische Sicherheitslücken tauchen regelmäßig auf, egal wie ausgereift ein Produkt ist. Entscheidend ist nicht, ob es eine Lücke gibt – sondern wie schnell sie geschlossen wird. Benötigen Sie Unterstützung bei der Einspielung eines Updates, sind wir eine Nachricht oder einen Anruf entfernt.