CVE-2019-5138

Command injection w funkcji diagnostycznej Moxa AWK-3131A

CVSS 9.9v3.1pub. 2020-02-25upd. 2024-11-21

W oprogramowaniu Moxa AWK-3131A w wersji 1.13 istnieje podatność typu command injection w funkcjonalności zaszyfrowanych skryptów diagnostycznych. Umożliwia ona uwierzytelnionemu użytkownikowi o niskich uprawnieniach przejęcie pełnej kontroli nad urządzeniem.

▸ Pokaż oryginał (EN)

An exploitable command injection vulnerability exists in encrypted diagnostic script functionality of the Moxa AWK-3131A firmware version 1.13. A specially crafted diagnostic script file can cause arbitrary busybox commands to be executed, resulting in remote control over the device. An attacker can send diagnostic while authenticated as a low privilege user to trigger this vulnerability.

🤖 Analiza AI

Jak działa

Podatność tkwi w mechanizmie przetwarzania zaszyfrowanych skryptów diagnostycznych przez firmware urządzenia. Atakujący może przesłać specjalnie spreparowany plik skryptu diagnostycznego, który po przetworzeniu powoduje wykonanie dowolnych poleceń systemu BusyBox. Do wywołania podatności wystarczą uprawnienia zwykłego, nisko uprzywilejowanego użytkownika — wysłanie złośliwego skryptu diagnostycznego w ramach sesji uwierzytelnionej wyzwala wykonanie payload'u.

Skutki

Atakujący może wykonać dowolne polecenia systemowe na urządzeniu, co w praktyce oznacza pełną zdalną kontrolę (RCE) nad punktem dostępu sieci przemysłowej lub korporacyjnej. Możliwa jest modyfikacja konfiguracji, zakłócenie działania sieci, a także wykorzystanie urządzenia jako punktu wejścia do dalszego lateral movement.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Dodatkowo zaleca się ograniczenie dostępu do interfejsu zarządzania urządzenia wyłącznie do zaufanych sieci i użytkowników oraz stosowanie zasady minimalnych uprawnień.