CVE-2022-29337

Command injection w C-DATA FD702XW-X-R430 via parametr va_cmd

CVSS 9.8v3.1pub. 2022-05-24upd. 2024-11-21

Urządzenie C-DATA FD702XW-X-R430 w wersji firmware v2.1.13_X001 zawiera podatność typu command injection w funkcji formlanipv6. Atakujący zdalnie, bez uwierzytelnienia, może wykonać dowolne polecenia systemowe na urządzeniu.

▸ Pokaż oryginał (EN)

C-DATA FD702XW-X-R430 v2.1.13_X001 was discovered to contain a command injection vulnerability via the va_cmd parameter in formlanipv6. This vulnerability allows attackers to execute arbitrary commands via a crafted HTTP request.

🤖 Analiza AI

Jak działa

Podatność występuje w parametrze va_cmd obsługiwanym przez funkcję formlanipv6 w interfejsie webowym urządzenia. Dane przekazywane przez użytkownika w zapytaniu HTTP nie są odpowiednio walidowane ani filtrowane przed przekazaniem do interpretera systemu operacyjnego. Atakujący może spreparować złośliwe zapytanie HTTP zawierające dodatkowe polecenia systemowe, które zostaną wykonane z uprawnieniami procesu serwera webowego.

Skutki

Atakujący uzyskuje możliwość wykonania dowolnych poleceń systemu operacyjnego na podatnym urządzeniu sieciowym, co może prowadzić do pełnego przejęcia kontroli, kradzieży danych konfiguracyjnych oraz wykorzystania urządzenia jako punktu wejścia do sieci.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Jako tymczasowe działanie ochronne zaleca się ograniczenie dostępu do interfejsu zarządzania urządzenia wyłącznie do zaufanych hostów oraz izolację urządzenia od publicznego Internetu przy użyciu firewall.