Zwei kritische Schwachstellen in pfSense von Netgate
- Sicherheitshinweis
© Adobe Stock
Remote Code Execution möglich
In der kostenlosen Community Edition (CE) von pfSense wurden zwei erhebliche Sicherheitslücken entdeckt. Beide Lücken ermöglichen Remote Code Execution (RCE). Dadurch ist eine vollständige Kompromittierung der Firewall möglich. Angreifende müssen sich dafür als Administrator authentifizieren.
Betroffene Versionen:
- Netgate pfSense CE 2.7.2
- Netgate pfSense CE 2.8.0
Die Kennungen der Schwachstellen sind CVE-2025-69691 (EUVD-2025-209739) mit einem CVSS-Base-Score von 9.9/10 und CVE-2025-69690 (EUVD-2025-209738) mit einem CVSS-Base-Score von 9.1/10.
Dies melden das Bundesamt für Sicherheit in der Informationstechnik (BSI), die European Union Agency for Cybersecurity (ENISA) und Github.
pfSense ist eine Firewall auf der Basis des Betriebssystems FreeBSD und des Paketfilters pf.
Empfehlung
Laut Hersteller liegen die beschriebenen Sicherheitslücken in Funktionen, auf die nur Administratoren Zugriff haben, die gewollt dort PHP-Code ausführen dürfen. Deshalb sieht der Hersteller dies als bestimmungsgemäße Funktion an und sieht keinen Patch vor.