CVE-2020-14115

Command injection w routerze Xiaomi AX3600 — zdalne wykonanie kodu

CVSS 9.8v3.1pub. 2022-03-10upd. 2024-11-21

W oprogramowaniu routera Xiaomi AX3600 wykryto podatność typu command injection umożliwiającą zdalne wykonanie dowolnego kodu. Brak weryfikacji danych wejściowych pozwala atakującemu na przejęcie kontroli nad urządzeniem bez uwierzytelnienia.

▸ Pokaż oryginał (EN)

A command injection vulnerability exists in the Xiaomi Router AX3600. The vulnerability is caused by a lack of inspection for incoming data detection. Attackers can exploit this vulnerability to execute code.

🤖 Analiza AI

Jak działa

Podatność wynika z braku odpowiedniej weryfikacji (walidacji) danych przychodzących do routera. Atakujący może przesłać spreparowane dane zawierające złośliwe polecenia systemowe, które zostaną wykonane przez urządzenie. Mechanizm odpowiedzialny za przetwarzanie danych wejściowych nie filtruje niebezpiecznych ciągów znaków, co umożliwia wstrzyknięcie i wykonanie dowolnych poleceń w kontekście systemu operacyjnego urządzenia.

Skutki

Atakujący zdalny, nieuwierzytelniony użytkownik może wykonać dowolny kod na urządzeniu, co w praktyce oznacza pełne przejęcie kontroli nad routerem, naruszenie poufności i integralności danych oraz potencjalne zakłócenie jego działania.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami (https://trust.mi.com/zh-CN/misrc/bulletins/advisory?cveId=37). Zaleca się niezwłoczną aktualizację firmware urządzenia do wersji wskazanej przez Xiaomi jako bezpieczna.