CVE-2021-21876

Command Injection w Lantronix Premierwave 2050 via HTTP PUT

CVSS 9.1v3.1pub. 2021-12-22upd. 2024-11-21

Podatność typu command injection w urządzeniu Lantronix Premierwave 2050 pozwala uwierzytelnionemu atakującemu na zdalne wykonanie dowolnych poleceń systemowych poprzez spreparowane żądania HTTP PUT. Ocena CVSS 9.1 wskazuje na krytyczny poziom zagrożenia z możliwością pełnego przejęcia kontroli nad systemem.

▸ Pokaż oryginał (EN)

Specially-crafted HTTP requests can lead to arbitrary command execution in PUT requests. An attacker can make authenticated HTTP requests to trigger this vulnerability.

🤖 Analiza AI

Jak działa

Atakujący wysyła specjalnie spreparowane żądania HTTP PUT do podatnego interfejsu urządzenia. Dane zawarte w żądaniu nie są odpowiednio sanityzowane przed przekazaniem do interpretera poleceń systemowych (CWE-78), co pozwala na wstrzyknięcie i wykonanie arbitralnych poleceń w kontekście systemu operacyjnego urządzenia. Do przeprowadzenia ataku wymagane są ważne dane uwierzytelniające do interfejsu zarządzania.

Skutki

Uwierzytelniony atakujący może wykonać dowolne polecenia systemowe na urządzeniu, co może prowadzić do pełnego przejęcia kontroli, utraty poufności danych, naruszenia integralności systemu oraz zakłócenia jego dostępności.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Dodatkowo zaleca się ograniczenie dostępu do interfejsu zarządzania urządzenia wyłącznie do zaufanych hostów oraz sieci zarządzania (np. poprzez firewall lub dedykowany VLAN), a także stosowanie zasady minimalnych uprawnień dla kont dostępowych.

Kogo dotyczy

Lantronix Premierwave 2050 (firmware) — wersje wskazane w referencjach producenta (raport TALOS-2021-1315).

Uwagi

Podatność została zgłoszona przez Cisco Talos Intelligence Group i opisana w raporcie TALOS-2021-1315. Atak wymaga uwierzytelnienia (PR:H), jednak zakres wpływu przekracza granice komponentu (S:C), co podnosi ocenę CVSS do poziomu krytycznego.