CVE-2019-16340

Linksys Velop: ujawnienie klucza odzyskiwania przez niechroniony endpoint CGI

CVSS 9.8v3.1pub. 2019-11-21upd. 2024-11-21

Urządzenia Belkin Linksys Velop w wersji firmware 1.1.8.192419 umożliwiają zdalnym, nieuwierzytelnionym atakującym odczytanie klucza odzyskiwania sieci poprzez bezpośrednie żądanie do zasobu /sysinfo_json.cgi. Podatność jest krytyczna, ponieważ nie wymaga żadnego uwierzytelnienia ani interakcji użytkownika.

▸ Pokaż oryginał (EN)

Belkin Linksys Velop 1.1.8.192419 devices allows remote attackers to discover the recovery key via a direct request for the /sysinfo_json.cgi URI.

🤖 Analiza AI

Jak działa

Podatność jest sklasyfikowana jako CWE-425 (Direct Request / Forced Browsing), co oznacza, że endpoint /sysinfo_json.cgi jest dostępny bez żadnej weryfikacji tożsamości użytkownika. Atakujący może wysłać proste żądanie HTTP GET do tego adresu URI i w odpowiedzi otrzymać wrażliwe informacje systemowe, w tym klucz odzyskiwania urządzenia. Brak mechanizmu kontroli dostępu do tego zasobu sprawia, że exploit jest trywialnie prosty do przeprowadzenia zdalnie przez sieć.

Skutki

Atakujący uzyskuje dostęp do klucza odzyskiwania urządzenia, co może umożliwić mu przejęcie pełnej kontroli nad routerem mesh, modyfikację konfiguracji sieci oraz potencjalny dostęp do całej obsługiwanej infrastruktury sieciowej.

Mitygacja

Należy zaktualizować firmware do wersji 1.1.9.195026 lub nowszej, zgodnie z informacjami opublikowanymi przez producenta w notach wydania oraz artykule wsparcia Linksys nr 207568