CRITICAL🚩 CISA KEV⚡ EXPLOIT🇬🇧 English

CVE-2021-20090

Path Traversal umożliwiający obejście uwierzytelnienia w routerach Buffalo

CVSS 9.8v3.1pub. 2021-04-29upd. 2025-11-03

Podatność typu path traversal w interfejsie webowym routerów Buffalo WSR-2533DHPL2 i WSR-2533DHP3 pozwala nieuwierzytelnionemu atakującemu zdalnie ominąć mechanizm uwierzytelnienia. Zagrożenie jest krytyczne — atakujący nie potrzebuje żadnych danych logowania ani interakcji użytkownika.

▸ Pokaż oryginał (EN)

A path traversal vulnerability in the web interfaces of Buffalo WSR-2533DHPL2 firmware version <= 1.02 and WSR-2533DHP3 firmware version <= 1.24 could allow unauthenticated remote attackers to bypass authentication.

🤖 Analiza AI

Jak działa

Błąd polega na nieprawidłowej walidacji ścieżek URL w interfejsie webowym urządzenia. Atakujący może spreparować żądanie HTTP zawierające sekwencje path traversal (np. '../'), które umożliwiają dostęp do zasobów chronionych bez przejścia przez mechanizm uwierzytelnienia. W ten sposób możliwe jest ominięcie kontroli dostępu i uzyskanie dostępu do funkcji administracyjnych routera bez podawania hasła.

Skutki

Atakujący uzyskuje nieautoryzowany dostęp do panelu administracyjnego routera, co może prowadzić do pełnego przejęcia kontroli nad urządzeniem, zmiany konfiguracji sieci, przechwycenia ruchu sieciowego lub wykorzystania routera jako punktu wejścia do dalszych ataków w sieci lokalnej.

Mitygacja

Należy niezwłocznie zaktualizować firmware urządzeń do wersji wyższych niż 1.02 (WSR-2533DHPL2) i 1.24 (WSR-2533DHP3). Patche i szczegóły dostępne są u producenta oraz w referencjach producenta. Do czasu aktualizacji zaleca się wyłączenie zdalnego dostępu do interfejsu administracyjnego oraz ograniczenie dostępu do panelu webowego wyłącznie do zaufanych adresów IP.

Kogo dotyczy

Buffalo WSR-2533DHPL2 z firmware w wersji <= 1.02 oraz Buffalo WSR-2533DHP3 z firmware w wersji <= 1.24

Uwagi

Podatność dotyczy urządzeń opartych na platformie Arcadyan i według referencji była aktywnie wykorzystywana w środowiskach produkcyjnych. Szczegóły techniczne zostały opublikowane przez Tenable Research (TRA-2021-13).

CVSS Vector

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Buffalo Wsr 2533dhp3 Bk
HW
Buffalo
wszystkie wersje
Buffalo Wsr 2533dhp3 Bk Firmware
OS
Buffalo
≤ 1.24
Buffalo Wsr 2533dhpl2 Bk
HW
Buffalo
wszystkie wersje
Buffalo Wsr 2533dhpl2 Bk Firmware
OS
Buffalo
≤ 1.02

CISA KEV — szczegółyi

Dostawcai: Arcadyan
Produkti: Buffalo Firmware
Data dodania do KEVi: 3 listopada 2021
Termin remediation (USA)i: 17 listopada 2021(po terminie)

🇺🇸CISA KEV (oryginał)↗

Wymagana akcja (CISA)i

Zastosuj aktualizacje zgodnie z instrukcjami producenta.

tłumaczenie AI

▸ Pokaż oryginał (EN)

Apply updates per vendor instructions.

Opis CISAi

Oprogramowanie Arcadyan Buffalo zawiera lukę umożliwiającą traversal ścieżki, która może pozwolić nieuwierzytelnionym atakującym z dostępem zdalnym na obejście uwierzytelniania i uzyskanie dostępu do poufnych informacji. Ta luka dotyczy wielu routerów wielu różnych producentów.

tłumaczenie AI

▸ Pokaż oryginał (EN)

Arcadyan Buffalo firmware contains a path traversal vulnerability that could allow unauthenticated, remote attackers to bypass authentication and access sensitive information. This vulnerability affects multiple routers across several different vendors.

🔴