Ubiquiti patcht UniFi Network-kwetsbaarheid die accountovername mogelijk maakte

Ubiquiti heeft een kwetsbaarheid in de UniFi Network-app gepatcht waarmee hackers potentieel de accounts van gebruikers konden overnemen. Daarvoor hebben hackers wel toegang tot het netwerk in kwestie nodig.

Ubiquiti maakte de kwetsbaarheid bekend in een beveiligingsadvies op zijn website. Het probleem zat in UniFi Network-versie 10.1.85 en eerder. In versie 10.1.89 is de kwetsbaarheid verholpen. Specifiek voor de UniFi Express-router geldt een andere versienummering: daar is de bug verholpen in versie 9.0.118. Gebruikers wordt aangeraden om de updates zo snel mogelijk te installeren.

De kwetsbaarheid wordt gevolgd onder CVE-2026-22557. Het gaat om een 'kritieke' bug met een ernstigheidsscore van 10. Hackers met toegang tot het netwerk kunnen de kwetsbaarheid gebruiken om toegang te krijgen tot bestanden op het UniFi-systeem. Die kunnen vervolgens 'gemanipuleerd worden om toegang te verkrijgen tot een onderliggend account', aldus Ubiquiti.

Ubiquiti meldt ook een tweede kwetsbaarheid. Dat gaat om een NoSQL-injectie waarmee een hacker met toegang tot het netwerk mogelijk privileges kan escaleren. Dat gaat om een minder ernstige bug, die in dezelfde UniFi Network-versies is gepatcht.

UniFi Network, ook wel bekend als UniFi Controller, wordt gebruikt om Ubiquiti-netwerkapparatuur aan te sturen. Denk daarbij aan routers, accesspoints en switches. De app draait bijvoorbeeld op Ubiquiti's UniFi Cloud Gateways, Dream Machines en Dream Routers, hoewel gebruikers het ook zelf kunnen hosten.

De UniFi Network-app. Bron: Ubiquiti

Reacties (16)

[The Lord]

Hackers met toegang tot het netwerk

In de toelichting van Ubiquiti wordt hier geen uitleg voor gegeven.

Is het ook de zelf gehoste Unifi Network Controller die via internet bereikbaar is... Of is dat niet het netwerk...

[Fenna]

Als je met de muis over network hovert https://www.first.org/cvss/calculator/3-1#CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H, krijg je te zien dat netwerk ook het hele internet "kan" zijn.

[Sfynx]

Ik ga er maar van uit dat ze bedoelen dat je een verbinding kan maken met de controller. Ik heb alles in een management VLAN hangen, dus ik ga er geen afspraken voor afzeggen.

[DennusB]

Assumption is the mother of all fuckups

[Drardollan]

Bij een CVS van 10 je kop in het zand steken is hetzelfde als met je ogen dicht de snelweg oversteken…. Blij dat je mijn spullen niet beheerd in ieder geval.

Als je het niet direct kan oplossen, wat helemaal niet gek is, dan neem je wel alle mitigerende maatregelen die je kan nemen. En die zijn in geval van de Unifi Controller erg eenvoudig: uitzetten of onbereikbaar maken. Dat heeft 0 impact op de devices.

[par4]

Meestal wordt dat bedoelt met het netwerk ja.

[daanb14]

Heb je een specifiek gebruiksscenario om de self hosted UniFi Network Controller via het internet bereikbaar te maken? Dat is een goed recept voor een dosis ellende bij een kwetsbaarheid als dit.

[rens-br]

Ik had mijn controller eerst naar buiten open staan, omdat ik die ook gebruikte om de netwerken van andere mee te beheren. Inmiddels zit op al die plekken een Ubiquiti Cloud Gateway Ultra met eigen ingebouwde controller, dus is dat niet meer nodig.

Ik had daar overigens in de firewall wel toegang tot één IP op ingesteld.

[daanb14]

Precies. In een scenario waar dat nodig is, zoals bijvoorbeeld ook bij FortiGates als je ze op afstand wilt beheren, moet je heel goed nadenken over de implicaties daarvan. Bij FortiGate was dat met local-in policies. In het geval van een UniFi Network Controller door er goede firewall policies voor te zetten. Maar bij voorkeur natuurlijk nog liever met dedicated tunnels voor management. Verhoogt de complexiteit, maar is wel veiliger.

[Drardollan]

Als je het goed inricht heb je sowieso enkel poort 8080 vanaf extern open staan, dat is de poort waarop de devices communiceren. De GUI hang je netjes achter een VPN indien nodig.

Nog beter is natuurlijk ook poort 8080 beperken tot enkel bekende IP adressen, maar daar moet je dan wel de mogelijkheden en kennis voor hebben. Zeker met devices achter dynamische IP adressen is dat wat lastiger, maar het kan wel.

[daanb14]

Dat laatste is precies hoe ik het oploste. Inform-poort alleen gewhitelist vanuit bekende IPs en de GUI achter een VPN. Ik wil niet weten hoeveel partijen dom genoeg zijn om de GUI direct aan het internet te hangen. Dat zijn dezelfde partijen die de GUI van een FortiGate zonder local-in policies aan het internet hangen.

[Drardollan]

Uiteraard, dat is precies het risico. Direct patchen of de virtuele stekker uit. Elke minuut telt, nu dit bekend is kan je er van op aan dat er vanavond nog een exploit gaat zijn. Mede dankzij AI gaat dit sneller dan ooit.

[VDB Computers]

Vanmiddag heb ik bij een aantal relaties een controle uitgevoerd op hun systemen. Mooi om te zien dat de kritieke updates overal automatisch worden geïnstalleerd.

Alle controllers draaien netjes op versie .89, wat aangeeft dat het updatebeleid goed is ingericht en ook daadwerkelijk werkt zoals bedoeld.

Er worden regelmatig kwetsbaarheden ontdekt, dus het is prettig dat de fabrikant snel met updates komt én dat deze zonder handmatige acties worden doorgevoerd. Dat scheelt risico en beheerwerk.

Tegelijkertijd is het ook begrijpelijk dat sommige beheerders ervoor kiezen om updates handmatig uit te voeren. Updates kunnen immers impact hebben op de stabiliteit of compatibiliteit van een omgeving, en in bepaalde situaties is het wenselijk om eerst zelf te testen voordat deze breed worden uitgerold. Uiteindelijk blijft het een afweging tussen snelheid, risico en controle.

[robertwebbe]

Ik vond het al verdacht dat afgelopen 2 weken er zo ontzettend veel verbindingspogingen van allerlei landen werden gemaakt, vooral vanuit Brazilië en Rusland. En dan ook op beide WAN’s. Normaal gesproken komen er altijd wel wat verzoeken maar nu iedere paar seconden, 24 uur per dag door, alsof er een script van alles aan het testen was om toegang te krijgen tot mijn UDM-PM. Alles wordt geblokkeerd maar toch vond ik dit opvallend.

[CPM]

Dus ze moeten al in je interne netwerk zijn en toegang hebben tot je controller. Als ze al binnen zijn, dan is een controller niet meer interessant. Dan ga je voor data.

[Drardollan]

Heel veel controllers hangen open en bloot aan het internet. Die lopen een groot risico en zijn belangrijk om direct te patchen óf van het internet te halen.