CVE-2026-55159: luci-app-adblock-fast позволяет делегированным пользователям выполнить команды от root
В luci-app-adblock-fast — веб-интерфейсе DNS-блокировщика рекламы для OpenWrt — обнаружена уязвимость с оценкой CVSS 8.8 (HIGH). Делегированный пользователь с правами записи ACL на компонент может внедрить символы перевода строки в аргумент cron-записи и добиться выполнения произвольных команд с правами root. Проблема исправлена в версии 1.2.4-2.
Подробности
Уязвимы версии luci-app-adblock-fast до 1.2.4-2. Причиной стала недостаточная проверка входных данных в RPC-методе luci.adblock-fast.setCronEntry. Метод принимает аргумент entry и записывает его в файл /etc/crontabs/root как одну логическую строку, однако не отфильтровывает символы возврата каретки (CR) и перевода строки (LF). Аутентифицированный делегированный пользователь, обладающий ACL на запись в luci-app-adblock-fast, может передать в аргументе значение, содержащее переводы строк. При сериализации в /etc/crontabs/root такое значение превращается в дополнительные физические cron-записи — то есть в новые самостоятельные задания планировщика. Логика затронута в файле applications/luci-app-adblock-fast/root/usr/share/rpcd/ucode/luci.adblock-fast. Когда cron обрабатывает модифицированный файл, внедрённая запись исполняется с UID 0. Это даёт атакующему закрепление в системе: вредоносное задание сохраняется и продолжает выполняться при каждом запуске cron, обеспечивая устойчивое выполнение произвольных команд от root. Важно отметить границы применимости: уязвимость не продемонстрирована для неаутентифицированных вызовов и для пользователей, у которых нет ACL на запись к данному компоненту. Таким образом, для эксплуатации требуется уже имеющийся делегированный доступ к настройкам luci-app-adblock-fast — но в этом сценарии уязвимость позволяет выйти далеко за пределы изначально выданных полномочий и получить полный контроль над устройством.Что делать
Основная рекомендация — обновить luci-app-adblock-fast до версии 1.2.4-2 или более поздней. Патч устраняет обработку символов перевода строки во входных данных RPC-метода, поэтому после обновления внедрение дополнительных cron-записей через этот вектор становится невозможным. До установки обновления стоит применить компенсирующие меры. В первую очередь следует пересмотреть круг пользователей, обладающих ACL на запись к luci-app-adblock-fast: чем меньше учётных записей имеют такие права, тем уже поверхность атаки. Полезно провести аудит текущего содержимого /etc/crontabs/root на предмет подозрительных или неожиданных записей, а также проверить журналы вызовов RPC-метода setCronEntry. Если делегированный доступ к компоненту не требуется, его разумно отозвать. Дополнительно имеет смысл контролировать целостность файла /etc/crontabs/root и отслеживать его изменения, чтобы своевременно заметить попытку закрепления. Итог: CVE-2026-55159 — серьёзная уязвимость повышения привилегий в luci-app-adblock-fast на OpenWrt, позволяющая делегированному пользователю через внедрение переводов строк в cron-запись получить постоянное выполнение команд от root. Единственное надёжное решение — обновление до 1.2.4-2.Источник: CVE Project (cvelistV5)