CVE-2018-9285

Command injection w routerach ASUS – zdalne wykonanie poleceń OS

CVSS 9.8v3.0pub. 2018-04-04upd. 2024-11-21

Podatność typu command injection w oprogramowaniu firmware routerów ASUS umożliwia nieuwierzytelnionemu atakującemu zdalnie wykonać dowolne polecenia systemu operacyjnego. Krytyczny poziom CVSS 9.8 odzwierciedla brak wymagań co do uwierzytelnienia i pełny zakres możliwych szkód.

▸ Pokaż oryginał (EN)

Main_Analysis_Content.asp in /apply.cgi on ASUS RT-AC66U, RT-AC68U, RT-AC86U, RT-AC88U, RT-AC1900, RT-AC2900, and RT-AC3100 devices before 3.0.0.4.384_10007; RT-N18U devices before 3.0.0.4.382.39935; RT-AC87U and RT-AC3200 devices before 3.0.0.4.382.50010; and RT-AC5300 devices before 3.0.0.4.384.20287 allows OS command injection via the pingCNT and destIP fields of the SystemCmd variable.

🤖 Analiza AI

Jak działa

Podatność znajduje się w pliku Main_Analysis_Content.asp obsługiwanym przez endpoint /apply.cgi na dotkniętych urządzeniach. Atakujący może wstrzyknąć dowolne polecenia systemu operacyjnego za pośrednictwem pól pingCNT oraz destIP zmiennej SystemCmd, przesyłanych w żądaniu do tego endpointu. Brak odpowiedniej walidacji i sanityzacji danych wejściowych powoduje, że dostarczone przez atakującego wartości są bezpośrednio interpretowane i wykonywane przez system operacyjny urządzenia.

Skutki

Atakujący może uzyskać pełną kontrolę nad urządzeniem poprzez zdalne wykonanie dowolnych poleceń systemowych (RCE) bez konieczności uwierzytelnienia, co prowadzi do naruszenia poufności, integralności i dostępności urządzenia oraz sieci za nim stojącej.

Mitygacja

Należy zaktualizować firmware urządzenia do wersji: 3.0.0.4.384_10007 lub nowszej (RT-AC66U, RT-AC68U, RT-AC86U, RT-AC88U, RT-AC1900, RT-AC2900, RT-AC3100), 3.0.0.4.382.39935 lub nowszej (RT-N18U), 3.0.0.4.382.50010 lub nowszej (RT-AC87U, RT-AC3200), 3.0.0.4.384.20287 lub nowszej (RT-AC5300). Dodatkowo zaleca się ograniczenie dostępu do interfejsu administracyjnego urządzenia wyłącznie do zaufanych hostów oraz wyłączenie zdalnego zarządzania, jeśli nie jest wymagane.

Kogo dotyczy

ASUS RT-AC66U, RT-AC68U, RT-AC86U, RT-AC88U, RT-AC1900, RT-AC2900, RT-AC3100 – firmware przed wersją 3.0.0.4.384_10007; RT-N18U – firmware przed wersją 3.0.0.4.382.39935; RT-AC87U i RT-AC3200 – firmware przed wersją 3.0.0.4.382.50010; RT-AC5300 – firmware przed wersją 3.0.0.4.384.20287

Uwagi

Podatność została zgłoszona przez FortiGuard Labs (identyfikator wewnętrzny FG-VD-17-216). W serwisie Packet Storm Security opublikowano publiczny exploit dotyczący modelu ASUS TM-AC1900 (powiązany model oparty na tej samej platformie).