CVE-2021-35978

Protokół ZING obsługiwany przez podatne urządzenia Digi TransPort nie wymaga uwierzytelnienia i pozwala na przekazywanie oraz wykonywanie dowolnych poleceń systemowych. Atakujący posiadający wiedzę o działaniu protokołu może wysyłać spreparowane żądania sieciowe, które są wykonywane przez urządzenie z najwyższymi uprawnieniami SUPER. Podatność klasyfikowana jest jako command injection (CWE-77), co oznacza brak odpowiedniej walidacji i neutralizacji danych wejściowych przed ich interpretacją przez powłokę systemową.

Atakujący może zdalnie i bez uwierzytelnienia wykonać dowolny kod na urządzeniu z najwyższymi uprawnieniami, co obejmuje m.in. nadpisanie firmware'u, dodawanie i usuwanie użytkowników, wyłączanie wewnętrznego firewall'a oraz przejęcie pełnej kontroli nad urządzeniem.

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Dodatkowo zaleca się ograniczenie dostępu sieciowego do podatnych urządzeń poprzez segmentację sieci oraz reguły firewall'a blokujące nieautoryzowany dostęp do protokołu ZING z niezaufanych źródeł.

Urządzenia Digi TransPort DR64, SR44 oraz VC74 — wersje wskazane w referencjach producenta

Szczegóły techniczne podatności zostały opublikowane przez badacza w repozytorium GitHub (github.com/reidmefirst/vuln-disclosure/main/2021-04.txt), co oznacza publiczną dostępność informacji o mechanizmie działania błędu.