CVE-2021-4039

Luka wynika z niewystarczającej walidacji danych wejściowych w interfejsie webowym urządzenia, co jest charakterystyczne dla podatności klasy CWE-78 (command injection). Atakujący może spreparować odpowiednie żądanie HTTP zawierające złośliwe polecenia systemowe, które zostaną przekazane bezpośrednio do interpretera poleceń systemu operacyjnego urządzenia. Atak nie wymaga żadnego uwierzytelnienia ani interakcji ze strony użytkownika, a jego przeprowadzenie jest możliwe zdalnie przez sieć.

Skuteczne wykorzystanie podatności pozwala atakującemu na wykonanie dowolnych poleceń z uprawnieniami systemu operacyjnego urządzenia, co może prowadzić do pełnego przejęcia kontroli nad punktem dostępowym, utraty poufności i integralności danych oraz zakłócenia dostępności usług.

Należy zastosować patche dostępne u producenta zgodnie z referencjami — patrz oficjalny biuletyn bezpieczeństwa Zyxel dotyczący podatności command injection w punkcie dostępowym NWA1100-NH. Zaleca się również ograniczenie dostępu do interfejsu webowego urządzenia wyłącznie do zaufanych sieci lub adresów IP oraz wyłączenie zdalnego dostępu do panelu administracyjnego jeśli nie jest wymagany.

Zyxel NWA-1100-NH — wersje firmware wskazane w referencjach producenta

Publicznie dostępny exploit/PoC został opublikowany w serwisie Packet Storm Security (packetstormsecurity.com), co zwiększa realne ryzyko wykorzystania podatności.