UnrealIRCd: Angreifer nutzen Lücke für Befehle mit Serverrechten aus

Derzeit haben Angreifer eine Schwachstelle in UnrealIRCd im Visier und attackieren IRC-Server. Um Instanzen dagegen abzusichern, müssen Admins die aktuelle Version oder einen Hot-Patch installieren.

UnrealIRCd ist ein quelloffener IRC-Server (Internet Relay Chat Daemon).

Angegriffene Sicherheitslücke

Vor den Attacken warnt die US-Sicherheitsbehörde CISA in einem Beitrag. In welchem Umfang die Angriffe ablaufen, ist derzeit nicht bekannt. Wie aus dem UnrealIRCd-Forum hervorgeht, ist die attackierte Lücke (CVE-2026-114713 „hoch“) bereits seit Anfang November bekannt und betrifft die Versionen 6.0.0 bis einschließlich 6.2.7. Der Entwickler spricht vom kritischsten Fehler in UnrealIRCd seit 15 Jahren.

Damit Angreifer an der Lücke ansetzen können, müssen der Beschreibung zufolge mindestens zwei IRC-Server miteinander verbunden sein. Ist das gegeben, reicht ein normaler Nutzerzugang: Weil das standardmäßig aktive Modul labeled-response bestimmte Nachrichteninhalte nicht korrekt maskiert, können Angreifer Befehle einschleusen, welche die Server untereinander mit Server- beziehungsweise IRCOp-Rechten ausführen. So können sie etwa Nutzer trennen oder netzweit sperren. Von einer Codeausführung auf dem zugrunde liegenden System ist aber keine Rede.

Abhilfe schafft die reparierte Ausgabe 6.2.7.1. Alternativ gibt es den Hot-Patch bundle-20261107, den Admins ohne Neustart einspielen können. Dass der Hot-Patch unter FreeBSD nicht funktionierte, behebt laut Changelog die Vorabversion 6.2.8-rc1. Als Sofortmaßnahme empfehlen die Entwickler zusätzlich einen Spamfilter-Befehl, der die kritische Lücke netzwerkweit blockiert, sofern alle Server mindestens Version 6.0.4 nutzen. Den Patch ersetzt das aber nicht.

Dem Softwarehersteller zufolge ist auch die mittlerweile nicht mehr unterstützte Version 5 verwundbar. Für diese gibt es keine Sicherheitsupdates mehr. Admins können als Notlösung das betroffene Modul labeled-response auf allen Servern per Konfiguration abschalten. Danach müssen sie die Server neu starten, ein Rehash reicht nicht. Langfristig sollten sie auf eine noch unterstützte Version upgraden.

Weitere Gefahren

Die Entwickler geben an, insgesamt neun Sicherheitsprobleme in der aktuellen Version und mit dem Hot-Patch gelöst zu haben. Durch das erfolgreiche Ausnutzen der weiteren Schwachstellen können Angreifer unter anderem Abstürze auslösen und Nutzer-IP-Adressen offenlegen.

Die Lücken fand der Entwickler nach eigenen Angaben bei einem internen Audit mit Unterstützung von KI.