CVE-2021-30228

Podatność znajduje się w interfejsie API dostępnym pod ścieżką api/ZRAndlink/set_ZRAndlink. Atakujący może przesłać spreparowane żądanie sieciowe zawierające shell metacharacters (znaki specjalne powłoki systemowej) w parametrze iandlink_proc_enable. Router nieprawidłowo przetwarza dane wejściowe, przekazując je bezpośrednio do powłoki systemowej bez odpowiedniej walidacji ani sanityzacji, co prowadzi do wykonania wstrzykniętych poleceń z uprawnieniami procesu obsługującego API.

Atakujący uzyskuje możliwość zdalnego wykonania dowolnych poleceń systemowych na urządzeniu (RCE), co może skutkować pełnym przejęciem kontroli nad routerem, w tym dostępem do konfiguracji sieci, danych przesyłanych przez urządzenie oraz możliwością wykorzystania routera jako punktu wejścia do sieci lokalnej.

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Dodatkowo zaleca się ograniczenie dostępu do interfejsu zarządzania routerem wyłącznie do zaufanych adresów IP oraz izolację urządzenia od publicznego dostępu sieciowego do czasu wdrożenia aktualizacji.

Router China Mobile An Lianbao WF-1 w wersji firmware 1.0.1

Podatność została udokumentowana publicznie w repozytorium GitHub (pokerfacett/MY_REQUEST), co sugeruje dostępność szczegółów technicznych ułatwiających opracowanie exploita. Zgłoszenie figuruje również w chińskiej bazie podatności CNVD pod numerem CNVD-2021-03520.