CVE-2021-33963

Command injection w routerze China Mobile An Lianbao WF-1 via API

CVSS 9.8v3.1pub. 2022-01-15upd. 2024-11-21

Router China Mobile An Lianbao WF-1 w wersji 1.0.1 zawiera podatność typu command injection w parametrze macType obsługiwanym przez endpoint /api/ZRMacClone/mac_addr_clone. Podatność umożliwia nieuwierzytelnionemu atakującemu zdalne wykonanie dowolnych poleceń systemowych na urządzeniu.

▸ Pokaż oryginał (EN)

China Mobile An Lianbao WF-1 v1.0.1 router web interface through /api/ZRMacClone/mac_addr_clone receives parameters by POST request, and the parameter macType has a command injection vulnerability. An attacker can use the vulnerability to execute remote commands.

🤖 Analiza AI

Jak działa

Interfejs webowy routera przyjmuje żądania POST pod ścieżką /api/ZRMacClone/mac_addr_clone. Parametr macType przekazywany w treści żądania nie jest odpowiednio walidowany ani sanityzowany przed przekazaniem do wywołania systemowego. Atakujący może wstrzyknąć do tego parametru złośliwe polecenia systemowe, które zostaną wykonane przez router z uprawnieniami procesu obsługującego żądanie. Atak nie wymaga uwierzytelnienia ani interakcji po stronie użytkownika i może zostać przeprowadzony zdalnie przez sieć.

Skutki

Atakujący może uzyskać pełną kontrolę nad urządzeniem poprzez zdalne wykonanie dowolnych poleceń systemowych (RCE), co prowadzi do naruszenia poufności, integralności i dostępności systemu.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Do czasu aktualizacji zaleca się ograniczenie dostępu do interfejsu webowego routera wyłącznie do zaufanych sieci lokalnych oraz zablokowanie dostępu do panelu administracyjnego od strony WAN.

Kogo dotyczy

Router China Mobile An Lianbao WF-1 w wersji firmware 1.0.1

Uwagi

Podatność została zarejestrowana również w chińskiej bazie CNVD pod identyfikatorem CNVD-2021-03520. Szczegółowy opis techniczny wraz z dowodem koncepcji (proof of concept) jest publicznie dostępny w repozytorium GitHub wskazanym w referencjach.