CVE-2020-15489

Command Injection w routerze Wavlink WL-WN530HG4 — RCE z uprawnieniami root

CVSS 9.8v3.1pub. 2020-07-01upd. 2024-11-21

Urządzenia Wavlink WL-WN530HG4 zawierają wiele podatności typu command injection w skryptach CGI, umożliwiając zdalne wykonanie kodu z najwyższymi uprawnieniami. Podatność jest krytyczna ze względu na brak wymagań dotyczących uwierzytelnienia oraz pełny dostęp do systemu operacyjnego urządzenia.

▸ Pokaż oryginał (EN)

An issue was discovered on Wavlink WL-WN530HG4 M30HG4.V5030.191116 devices. Multiple shell metacharacter injection vulnerabilities exist in CGI scripts, leading to remote code execution with root privileges.

🤖 Analiza AI

Jak działa

Skrypty CGI obsługujące interfejs zarządzania urządzeniem nie filtrują poprawnie danych wejściowych dostarczanych przez użytkownika. Atakujący może wstrzyknąć specjalne metaznaki powłoki (shell metacharacters) do parametrów przekazywanych do skryptów CGI. Skutkuje to wykonaniem dowolnych poleceń systemowych w kontekście procesu obsługującego żądanie, który działa z uprawnieniami root.

Skutki

Atakujący zdalnie i bez uwierzytelnienia może przejąć pełną kontrolę nad urządzeniem z uprawnieniami root, co umożliwia modyfikację konfiguracji, podsłuchiwanie ruchu sieciowego, a także wykorzystanie urządzenia jako punktu wejścia do sieci lokalnej.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Dodatkowo zaleca się ograniczenie dostępu do interfejsu zarządzania urządzenia wyłącznie do zaufanych hostów oraz odizolowanie urządzenia od publicznego Internetu za pomocą firewall.