CVE-2019-16639

Command injection w Ruijie EG-2000SE — dostęp bez uwierzytelnienia

CVSS 9.8v3.1pub. 2024-07-16upd. 2025-07-09

W bramie sieciowej Ruijie EG-2000SE wykryto interfejs API (newcli.php) pozbawiony kontroli dostępu, umożliwiający wykonanie dowolnych poleceń TELNET oraz odczyt haseł administratora. Podatność jest krytyczna, ponieważ atakujący nie potrzebuje żadnych poświadczeń.

▸ Pokaż oryginał (EN)

An issue was found on the Ruijie EG-2000 series gateway. There is a newcli.php API interface without access control, which can allow an attacker (who only has web interface access) to use TELNET commands and/or show admin passwords via the mode_url=exec&command= substring. This affects EG-2000SE EG_RGOS 11.9 B11P1.

🤖 Analiza AI

Jak działa

Interfejs API newcli.php nie wymaga uwierzytelnienia, co pozwala każdemu użytkownikowi mającemu dostęp do panelu webowego na wysyłanie żądań z parametrem mode_url=exec&command=. Poprzez ten parametr możliwe jest wykonywanie poleceń TELNET oraz wyświetlanie haseł administratora. Jest to klasyczny przypadek command injection (CWE-78), gdzie dane wejściowe użytkownika są przekazywane bezpośrednio do interpretera poleceń bez odpowiedniej walidacji i filtrowania.

Skutki

Atakujący może zdalnie wykonywać polecenia na urządzeniu bez żadnego uwierzytelnienia oraz uzyskać hasła administratora, co skutkuje pełnym przejęciem kontroli nad urządzeniem, utratą poufności i integralności danych oraz potencjalnym wykorzystaniem urządzenia jako punktu wejścia do sieci wewnętrznej.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Jako środek tymczasowy zaleca się ograniczenie dostępu do interfejsu webowego urządzenia wyłącznie do zaufanych adresów IP oraz segmentację sieci uniemożliwiającą nieautoryzowanym użytkownikom osiągnięcie panelu zarządzania.

Kogo dotyczy

Ruijie EG-2000SE z oprogramowaniem firmware EG_RGOS 11.9 B11P1

Uwagi

Podatność dotyczy wyłącznie modelu EG-2000SE z konkretną wersją firmware EG_RGOS 11.9 B11P1. Szczegółowy opis techniczny dostępny jest pod adresem https://0x.mk/?p=239.