CVE-2018-25317

Podatność wynika z braku prawidłowej weryfikacji sesji użytkownika podczas obsługi żądań do endpointu /goform/AdvSetDns. Atakujący wysyła żądanie HTTP GET do tego endpointu, dołączając spreparowany cookie z wartością języka administratora (admin language cookie). Router akceptuje takie żądanie bez wymagania faktycznego uwierzytelnienia, co klasyfikuje się jako auth bypass (CWE-290 — Authentication Bypass by Spoofing). W efekcie atakujący może nadpisać wartości podstawowego i zapasowego serwera DNS routera.

Nieuwierzytelniony atakujący zdalnie może zmienić serwery DNS obsługiwane przez urządzenie, przekierowując ruch sieciowy wszystkich podłączonych użytkowników do serwerów kontrolowanych przez atakującego. Umożliwia to ataki typu DNS hijacking, phishing, przechwytywanie poświadczeń oraz dalsze naruszenie poufności i integralności komunikacji sieciowej.

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Do czasu wdrożenia aktualizacji zaleca się ograniczenie dostępu do panelu administracyjnego routera wyłącznie do zaufanych adresów IP w sieci lokalnej oraz monitorowanie wszelkich zmian w konfiguracji DNS urządzenia.

Routery bezprzewodowe Tenda W3002R, Tenda A302 oraz Tenda W309R w wersji firmware V5.07.64_en

Dla tej podatności istnieje publicznie dostępny exploit opublikowany w bazie Exploit-DB (exploit-db.com/exploits/44380), co znacząco obniża próg wejścia dla potencjalnych atakujących.