OPNsense 設定檔行注入漏洞：核對 7 月修補及帳號權限

CVE-2026-57154

主要來源公告：2026-07-01

本站刊登：2026-11-04 · 內容更新：2026-11-04（香港日期）

情報摘要

CVE-2026-57154 的 CVE 記錄於 11 月 3 日發布，但 OPNsense 原始公告及社群版 26.1.11 修補早在 7 月 1 日公開。漏洞需要已登入、獲授權修改相關 GUI／API 設定的帳號，可把額外設定行寫入具特權的服務設定檔；並非未經認證即可直接入侵防火牆。

問題在於部分原應只有一行文字的設定欄接受換行字元，後續產生服務設定檔時未妥善處理，令受委派操作員可超出 GUI／API 原本允許的設定範圍。公告涵蓋 Dnsmasq、OpenVPN、Unbound、IPsec、NTP、Monit 等多個元件，實際影響視乎設定權限及服務語義。

公告的 Dnsmasq 案例需要啟用 Dnsmasq DNS／DHCP、可存取該服務設定的 Web UI／API 帳號，以及套用或重新啟動服務的能力。確認影響包括改變服務行為、在服務可寫入的位置建立或附加檔案，以及令服務無法啟動。

研究者明確表示，未確認 Dnsmasq 路徑可執行任意 shell 指令；公告另有不同元件的較高影響例子，不能將它們一概套用到 Dnsmasq 或所有帳號。

原始 GHSA 公告與社群版 26.1.11 發行說明均標示 2026 年 7 月 1 日。CVE 記錄則於 11 月 3 日 18:10 UTC 發布，即香港時間 11 月 4 日 02:10；這是 CVE 記錄發布時間，不是新發現、首次攻擊或剛推出修補的證據。

OPNsense core：官方公告列社群版 26.1.10 及更早版本、商業版 26.4.1 及更早版本受影響；對應修補版本為 26.1.11 和 26.4.1p1。

管理 OPNsense 防火牆、閘道及委派式 GUI／API 帳號權限的網絡與資安團隊

核對所用社群版或商業版分支，按官方升級流程安裝包含修補的受支援版本；官方公告列出的初始修補版本分別是 26.1.11 和 26.4.1p1，不應把它們當作目前最新版本或降級目標。編輯建議：檢查哪些帳號可修改受影響服務設定，只保留工作所需權限，並在維護時段驗證服務正常。

採用 OPNsense 官方 GitHub Security Advisory 及 GitHub CNA 記錄的 CVSS v3.1 8.1（High）評分，向量為 AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:H。

CNA 的簡化受影響版本欄只列早於 26.1.11；本文的商業版範圍及 26.4.1p1 修補資訊來自 OPNsense 官方 GHSA，沒有把兩個分支當作一條連續版本範圍。

已核對來源不足以確認野外利用狀態；實驗室結果不等於已確認真實入侵。本文沒有下載或測試利用程式。

未核實香港特定機構、部署或用戶受影響。