CVE-2021-25812

Command injection w routerze China Mobile An Lianbao WF-1 poprzez parametr 'ip'

CVSS 9.8v3.1pub. 2021-04-29upd. 2024-11-21

Podatność typu command injection w routerze China Mobile An Lianbao WF-1 w wersji 1.01 umożliwia zdalnemu, nieuwierzytelnionemu atakującemu wykonanie dowolnych poleceń systemowych. Krytyczny poziom zagrożenia (CVSS 9.8) wynika z braku wymagań dotyczących uwierzytelnienia oraz pełnego wpływu na poufność, integralność i dostępność urządzenia.

▸ Pokaż oryginał (EN)

Command injection vulnerability in China Mobile An Lianbao WF-1 1.01 via the 'ip' parameter with a POST request to /api/ZRQos/set_online_client.

🤖 Analiza AI

Jak działa

Podatność występuje w endpoincie API `/api/ZRQos/set_online_client`, który przyjmuje żądania HTTP POST. Parametr `ip` przesyłany w treści żądania nie jest odpowiednio walidowany ani sanityzowany przed przekazaniem do interpretera poleceń systemowych. Atakujący może wstrzyknąć dodatkowe polecenia systemowe poprzez spreparowaną wartość parametru `ip`, które zostaną wykonane z uprawnieniami procesu obsługującego API routera.

Skutki

Atakujący bez uwierzytelnienia, zdalnie przez sieć, może wykonać dowolne polecenia na urządzeniu, co prowadzi do pełnego przejęcia kontroli nad routerem, kradzieży danych konfiguracyjnych, modyfikacji ustawień sieciowych lub uczynienia urządzenia niedostępnym.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Tymczasowo zaleca się ograniczenie dostępu do interfejsu administracyjnego routera wyłącznie do zaufanych sieci lokalnych oraz zablokowanie nieautoryzowanego dostępu do endpointu `/api/ZRQos/set_online_client` na poziomie firewall.

Kogo dotyczy

China Mobile An Lianbao WF-1 w wersji firmware 1.01

Uwagi

Szczegółowy opis podatności wraz z dowodem skuteczności (proof-of-concept) został opublikowany publicznie w repozytorium GitHub pod adresem wskazanym w referencjach, co istotnie obniża próg wejścia dla potencjalnych atakujących.