CVE-2021-30230

Podatność znajduje się w interfejsie API dostępnym pod ścieżką api/ZRFirmware/set_time_zone. Parametr zonename nie jest odpowiednio walidowany ani sanityzowany, co pozwala atakującemu na osadzenie w nim tzw. shell metacharacters (znaków specjalnych powłoki systemowej). Spreparowane żądanie sieciowe zawierające złośliwy payload w parametrze zonename powoduje wykonanie wstrzykniętych poleceń przez system operacyjny urządzenia.

Nieuwierzytelniony zdalny atakujący może przejąć pełną kontrolę nad urządzeniem poprzez wykonanie dowolnych poleceń systemowych, co skutkuje utratą poufności, integralności i dostępności routera oraz potencjalnie całej obsługiwanej sieci.

Należy zastosować patche dostępne u producenta zgodnie z referencjami. W przypadku braku dostępnej aktualizacji zaleca się ograniczenie dostępu do interfejsu zarządzania routerem wyłącznie do zaufanych adresów IP oraz izolację urządzenia od nieautoryzowanych sieci.

Router China Mobile An Lianbao WF-1 z oprogramowaniem firmware w wersji 1.0.1

Podatność została udokumentowana publicznie wraz z technicznym proof-of-concept dostępnym w repozytorium GitHub (pokerfacett/MY_REQUEST). Podatność figuruje również w chińskiej bazie CNVD pod numerem CNVD-2021-03520.