CVE-2026-63442

Nome do Software Vulnerável e Versões Afetadas OPNsense versões anteriores a 26.1.11

Descrição O campo de login usernamefld do WebGUI não autenticado aceita caracteres de retorno de carro e alimentação de linha. Esses caracteres persistem através do processamento LOG AUTH via syslog-ng-lockout.conf para o destino do programa syslog-ng que alimenta o lockout handler. O processamento readline() do consumidor trata um fragmento injetado como um evento de autenticação separado e seleciona o primeiro endereço IP sintaticamente válido da linha forjada. Um invasor com acesso de rede à página de login pode forjar eventos de falha para outro IP, fazendo com que ele seja adicionado à tabela PF sshlockout e encerrando seus estados ativos, ou forjar eventos aceitos para redefinir seu próprio contador de força bruta. Isso permite o bloqueio de endereços administrativos, DNS, gateway ou de monitoramento e possibilita a evasão do bloqueio de tentativas de senha sem autenticação.

Recomendações Atualizar para a versão 26.1.11.