Критическая CRLF-инъекция в SNMP-обработчике Oray Pugongying X5 Pro (CVE-2026-116232)

В конце января в каталоге CVE Project появилась запись о новой критической уязвимости в устройстве Oray Pugongying X5 Pro — маршрутизаторе, применяемом в сегменте малого и среднего бизнеса. Проблема затрагивает обработчик SNMP и позволяет злоумышленнику удалённо внедрять управляющие последовательности CRLF в трафик устройства.

Подробности

Уязвимость CVE-2026-116232 получила оценку CVSS 9.4 — критический уровень. Затронута версия Oray Pugongying X5 Pro 7.6.1. Слабое место локализовано в функции snmp_set компонента SNMP Handler: манипуляция аргументом info.community приводит к инъекции символов возврата каретки и перевода строки (CRLF injection).

Эксплуатация возможна удалённо, без физического доступа к устройству. На момент публикации записи эксплойт уже находился в открытом доступе, что существенно повышает риск реальных атак. Отдельно отмечается, что производитель был заблаговременно уведомлён об уязвимости, однако не ответил на обращение и не выпустил патч.

CRLF-инъекция в SNMP-контексте может использоваться для искажения журналов, внедрения поддельных записей, обхода механизмов разграничения доступа и подготовки более сложных атак на инфраструктуру. Учитывая критическую оценку и наличие публичного эксплойта, устройство следует считать потенциально скомпрометированным при отсутствии изоляции от недоверенных сетей.

Что делать

Официального обновления от вендора на момент публикации нет, поэтому рекомендуются компенсирующие меры:

• Ограничить доступ к SNMP-интерфейсу устройства: закрыть UDP-порт 161 и TCP-порт 162 на периметре, разрешив обращения только с доверенных хостов управления.
• Отключить SNMP, если он не используется, либо перейти на SNMPv3 с аутентификацией и шифрованием; отказаться от дефолтных и слабых community-строк.
• Изолировать Oray Pugongying X5 Pro в отдельном сегменте сети, ограничить маршрутизацию между сегментами и вести мониторинг аномальных SNMP-запросов.
• Проверить журналы устройства на предмет подозрительных записей и несанкционированных изменений конфигурации.
• Отслеживать обновления на сайте производителя и оперативно устанавливать прошивку при её появлении; при отсутствии патча рассмотреть замену устройства.

Итог: CVE-2026-116232 — критическая удалённо эксплуатируемая уязвимость с публичным эксплойтом и без реакции вендора. Организациям, использующим Oray Pugongying X5 Pro 7.6.1, следует незамедлительно применить митигации и оценить необходимость замены устройства.

Источник: CVE Project (cvelistV5)