CVE-2021-43711

Command injection w TOTOLINK EX200 — nieuwierzytelnione RCE przez downloadFlile.cgi

CVSS 9.8v3.1pub. 2022-01-04upd. 2024-11-21

Firmware TOTOLINK EX200 V4.0.3c.7646_B20201211 zawiera krytyczną podatność typu command injection w pliku binarnym downloadFlile.cgi. Atakujący bez żadnego uwierzytelnienia może zdalnie wykonać dowolne polecenia systemowe na urządzeniu.

▸ Pokaż oryginał (EN)

The downloadFlile.cgi binary file in TOTOLINK EX200 V4.0.3c.7646_B20201211 has a command injection vulnerability when receiving GET parameters. The parameter name can be constructed for unauthenticated command execution.

🤖 Analiza AI

Jak działa

Plik binarny downloadFlile.cgi obsługuje żądania HTTP metodą GET i nie weryfikuje poprawnie przekazywanych parametrów. Poprzez odpowiednio spreparowaną nazwę parametru w żądaniu GET możliwe jest wstrzyknięcie poleceń systemowych (command injection, CWE-77). Podatność nie wymaga żadnego uwierzytelnienia, co oznacza, że może być wykorzystana przez dowolnego atakującego mającego dostęp sieciowy do urządzenia.

Skutki

Atakujący może uzyskać pełną kontrolę nad urządzeniem poprzez zdalne wykonanie dowolnych poleceń systemowych (RCE) bez konieczności posiadania jakichkolwiek danych uwierzytelniających. Skutkiem może być całkowite przejęcie urządzenia, naruszenie poufności, integralności i dostępności sieci obsługiwanej przez punkt dostępowy.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Tymczasowo zaleca się ograniczenie dostępu do interfejsu administracyjnego urządzenia wyłącznie do zaufanych adresów IP oraz izolację urządzenia od niezaufanych sieci za pomocą firewall.