Kritische Schwachstelle im IXON-VPN-Client: Befehle als root oder SYSTEM ausführbar

Eine Schwachstelle im VPN-Client von IXON kann die Ausführung von Befehlen mit höchsten Privilegien auf dem betroffenen Computer ermöglichen. Die als CVE-2026-75925 geführte Sicherheitslücke betrifft alle Versionen des IXON VPN Client vor Version 1.4.7.

CISA stuft das Problem als kritisch ein. Der Basiswert beträgt 9,6 von 10 nach CVSS 3.1 und 9,4 nach CVSS 4.0. Der Angriff nutzt eine gefährliche Kombination aus Konfigurationsänderungen ohne Prüfung des anfragenden Clients und dem Schreiben von Daten, bei dem Zeilenumbruchsequenzen nicht ordnungsgemäß neutralisiert werden.

Dadurch können neue Direktiven in eine Datei eingeschleust werden, die anschließend von einem privilegierten Unterprozess verarbeitet wird. Die eingeschleusten Befehle werden dann je nach Betriebssystemumgebung als root oder SYSTEM ausgeführt.

Alle Versionen vor 1.4.7 sind verwundbar

Das betroffene Produkt ist der IXON VPN Client, der für den Fernzugriff auf verteilte Systeme und Infrastrukturen eingesetzt wird. IXON hat seinen Sitz in den Niederlanden, die Software wird jedoch weltweit vertrieben.

Die Fehlerkorrektur ist in Version 1.4.7 verfügbar. Als verwundbar gelten daher alle Releases mit einer niedrigeren Versionsnummer:

• Produkt: IXON VPN Client
• Verwundbare Versionen: alle Versionen vor 1.4.7
• Behobene Version: 1.4.7 oder höher
• Kennung: CVE-2026-75925
• Primäre Klassifizierung: CWE-93, unsachgemäße Neutralisierung von CRLF-Sequenzen
• Zusätzliche Schwachstelle: CWE-306, fehlende Authentifizierung für eine kritische Funktion

Entdeckt wurde die Schwachstelle von Luuk van Rheden, der bei IXON beschäftigt ist. Die Meldung an CISA erfolgte durch Stan van Duijnhoven, ebenfalls ein Mitarbeiter des Unternehmens.

Der erste Sicherheitshinweis wurde am 5. August 2026 veröffentlicht. CISA veröffentlichte am 3. September 2026 eine überarbeitete Version.

Wie eine CRLF-Injection zur Ausführung privilegierter Befehle führt

CRLF-Sequenzen, üblicherweise als \r\n dargestellt, trennen in verschiedenen textbasierten Formaten einzelne Zeilen. Fügt eine Anwendung steuerbare Werte in eine Datei ein, ohne diese Zeichen zu filtern, kann ein Angreifer die vorgesehene Zeile beenden und zusätzliche Zeilen einfügen.

Beim IXON VPN Client ist der lokale Mechanismus betroffen, der die Konfiguration verarbeitet. Vom Dienst empfangene Werte werden in eine Datei geschrieben, die anschließend von einem Unterprozess mit erhöhten Rechten gelesen wird.

Die Anwendung neutralisiert die Zeilenumbruchzeichen nicht ausreichend. Ein Wert, der eigentlich nur für ein einzelnes Feld vorgesehen ist, kann dadurch in mehrere Zeilen umgewandelt werden und Direktiven enthalten, die das Programm nicht hätte akzeptieren dürfen.

Die Schwachstelle beruht jedoch nicht ausschließlich auf der fehlerhaften Verarbeitung von CRLF-Sequenzen. Die Konfigurationsschnittstelle erlaubt Änderungen, ohne den anfragenden Client zu authentifizieren oder dessen Herkunft zu überprüfen. Diese zweite Schwäche senkt die Hürden für einen Angreifer zusätzlich.

Die Angriffskette lässt sich wie folgt zusammenfassen:

1. Der Angreifer erstellt einen Konfigurationswert, der Zeilenumbruchsequenzen enthält.
2. Der Dienst akzeptiert die Änderung ohne ausreichende Authentifizierung.
3. Der Wert wird in die Konfigurationsdatei geschrieben.
4. Die eingefügten Zeilen werden zu eigenständigen Direktiven.
5. Ein privilegierter Unterprozess verarbeitet die Datei.
6. Die eingeschleusten Befehle werden als root oder SYSTEM ausgeführt.

Der genaue Pfad der betroffenen Datei, die konkreten Namen ausnutzbarer Direktiven und ein öffentlich verfügbarer Angriffsablauf wurden nicht veröffentlicht.

Angriff mit geringer Komplexität, aber erforderlicher Benutzerinteraktion

Der zugewiesene CVSS-3.1-Vektor lautet:

CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H

Die Bewertung zeigt, dass der Angriff über das Netzwerk ausgeführt werden kann, eine geringe Komplexität aufweist und keine vorherigen Berechtigungen erfordert. Allerdings ist eine Interaktion des Benutzers notwendig. Der CVSS-4.0-Vektor mit einem Wert von 9,4 beschreibt dieselbe Voraussetzung als passive Interaktion:

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:P/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H

Wie diese Interaktion genau erfolgt, wurde nicht näher erläutert. Auf Grundlage der veröffentlichten Informationen lässt sich daher nicht bestimmen, welche Handlung das Opfer während eines Kompromittierungsversuchs ausführen muss.

Die potenziellen Auswirkungen sind bei allen drei zentralen Parametern hoch: Vertraulichkeit, Integrität und Verfügbarkeit. Die Ausführung mit erweiterten Rechten kann das Lesen oder Verändern von Daten, die Installation weiterer Komponenten und eine Beeinträchtigung des Computerbetriebs ermöglichen.

Die im CVSS-Vektor angegebene Änderung des Scopes weist außerdem auf mögliche Auswirkungen auf Komponenten außerhalb der ursprünglich verletzten Sicherheitsgrenze hin.

Die manipulierte Konfiguration bleibt über Neustarts hinweg bestehen

Ein besonders problematischer Aspekt von CVE-2026-75925 ist die Persistenz. Die eingeschleuste Konfiguration wird auf der Festplatte gespeichert und kann auch nach einem Neustart des VPN-Clients oder des gesamten Betriebssystems aktiv bleiben.

Gleichzeitig funktioniert die VPN-Verbindung weiterhin normal. Benutzer bemerken möglicherweise weder Unterbrechungen noch offensichtliche Fehler oder Änderungen im Bedienverhalten.

Diese Kombination erschwert die Erkennung einer Kompromittierung: Die legitime Komponente bleibt funktionsfähig, während die hinzugefügten Direktiven weiterhin vom privilegierten Prozess verarbeitet werden.

Spezifische Indicators of Compromise wie Dateinamen, Hashes, IP-Adressen oder zu suchende Zeichenfolgen wurden nicht veröffentlicht. Administratoren können dennoch prüfen, ob unerwartete Änderungen an den Client-Konfigurationen vorhanden sind, indem sie diese mit vertrauenswürdigen Kopien und den zentralen Managementsystemen abgleichen.

Darüber hinaus sollten Ereignisse im Zusammenhang mit dem Start privilegierter Prozesse untersucht werden, insbesondere wenn die ausgeführten Programme nicht den üblichen VPN-Funktionen entsprechen. Da keine offiziellen Pfade und Signaturen vorliegen, müssen diese Prüfungen an die jeweilige lokale Umgebung angepasst werden.

Kein öffentlich bekannter Exploit und kein KEV-Fälligkeitsdatum angegeben

Zum Zeitpunkt des Sicherheitshinweises lagen CISA keine Meldungen über eine öffentlich bekannte, gezielt gegen CVE-2026-75925 gerichtete Ausnutzung vor. Damit unterscheidet sich die kritische Schwachstelle von einem bereits dokumentierten Angriff in freier Wildbahn. Die Notwendigkeit einer Aktualisierung wird dadurch jedoch nicht verringert.

Es wurde nicht angegeben, dass die Schwachstelle in den Known Exploited Vulnerabilities-Katalog, kurz KEV, von CISA aufgenommen wurde. Somit sind weder ein Aufnahmedatum noch eine damit verbundene Frist zur Behebung auf Bundesebene bekannt.

Diese Unterscheidung ist für die Praxis relevant: Der KEV-Katalog enthält Schwachstellen, für die Belege einer tatsächlichen Ausnutzung vorliegen. Im vorliegenden Fall beschreiben die verfügbaren Informationen eine Schwachstelle mit hohen Auswirkungen und niedrigen Ausnutzungshürden, jedoch ohne öffentlich bestätigte Angriffskampagnen.

Zu den potenziell betroffenen Bereichen zählen kritische Fertigungsindustrie, Energieversorgung, Informationstechnologie, Wasser und Abwasser sowie kommerzielle Einrichtungen. In industriellen Umgebungen kann die Kompromittierung eines für den Fernzugriff verwendeten Endpunkts zudem als Ausgangspunkt für Angriffe auf verbundene Systeme dienen.

Sofort aktualisieren und persistente Konfigurationen überprüfen

Die wichtigste Maßnahme besteht darin, den IXON VPN Client auf Version 1.4.7 oder höher zu aktualisieren. Die Installation des Updates sollte über ein zentrales Inventar überprüft werden, statt sich ausschließlich auf die vom Benutzer gemeldete Aktualisierung zu verlassen.

Nach dem Upgrade sollten die bereits auf der Festplatte vorhandenen Konfigurationen kontrolliert werden. Die Behebung der Software bedeutet nicht zwangsläufig, dass zuvor eingeschleuste schädliche Direktiven automatisch entfernt werden.

Organisationen sollten außerdem:

• alle Endpunkte ermitteln, auf denen der IXON VPN Client installiert ist;
• Versionen vor 1.4.7 umgehend isolieren oder aktualisieren;
• Konfigurationen, Persistenzmechanismen und mit erweiterten Rechten gestartete Prozesse überprüfen;
• eine direkte Internetanbindung von Steuerungssystemen vermeiden;
• industrielle und Unternehmensnetzwerke durch Firewalls und Netzwerksegmentierung voneinander trennen;
• die Verfahren für den Fernzugriff und die den VPN-Endpunkten gewährten Berechtigungen überprüfen;
• mehrschichtige Schutzmaßnahmen für ICS-Assets umsetzen;
• bei nicht autorisierten Änderungen die internen Verfahren zur Incident Response einleiten.

CISA verweist für die Erkennung und Eindämmung gezielter Eindringversuche außerdem auf das Dokument ICS-TIP-12-146-01B — Targeted Cyber Intrusion Detection and Mitigation Strategies. Da der Angriff eine Interaktion des Benutzers erfordert, bleiben auch Schutzmaßnahmen gegen Phishing und Social Engineering relevant: Nicht angeforderte Links und Anhänge sollten als potenzielle erste Angriffsschritte behandelt werden.