CVE-2021-21748

Stack-based buffer overflow w ZTE MF971R — możliwość RCE

CVSS 9.8v3.1pub. 2021-10-20upd. 2024-11-21

Urządzenie ZTE MF971R zawiera dwie podatności typu stack-based buffer overflow, które umożliwiają atakującemu zdalne wykonanie dowolnego kodu. Podatności otrzymały krytyczny wynik CVSS 9.8, co oznacza bardzo wysokie ryzyko dla użytkowników tego routera.

▸ Pokaż oryginał (EN)

ZTE MF971R product has two stack-based buffer overflow vulnerabilities. An attacker could exploit the vulnerabilities to execute arbitrary code.

🤖 Analiza AI

Jak działa

Podatności polegają na przepełnieniu bufora na stosie (stack-based buffer overflow), sklasyfikowanym jako CWE-787 (Out-of-bounds Write). Atakujący może wysłać specjalnie spreparowane dane do podatnego urządzenia, powodując zapis poza granicami przydzielonego bufora na stosie. Wektor ataku jest sieciowy, nie wymaga uwierzytelnienia ani interakcji użytkownika, co czyni eksploatację szczególnie prostą i niebezpieczną. W urządzeniu ZTE MF971R zidentyfikowano dwie odrębne instancje tej podatności.

Skutki

Skuteczne wykorzystanie podatności pozwala atakującemu na wykonanie dowolnego kodu (RCE) na podatnym urządzeniu, co może prowadzić do pełnego przejęcia kontroli nad routerem, naruszenia poufności, integralności i dostępności przetwarzanych danych.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami opublikowanymi na stronie wsparcia ZTE (https://support.zte.com.cn/support/news/LoopholeInfoDetail.aspx?newsId=1019764). Zaleca się niezwłoczną aktualizację firmware urządzenia do wersji wskazanej przez producenta.