CVE-2022-32765

Command injection w funkcji sysupgrade urządzenia Robustel R1510

CVSS 9.8v3.1pub. 2022-10-25upd. 2024-11-21

W urządzeniu Robustel R1510 (firmware 3.1.16 i 3.3.0) istnieje krytyczna podatność typu OS command injection w funkcjonalności polecenia sysupgrade. Umożliwia zdalnym, nieuwierzytelnionym atakującym wykonanie dowolnych poleceń systemowych na urządzeniu.

▸ Pokaż oryginał (EN)

An OS command injection vulnerability exists in the sysupgrade command injection functionality of Robustel R1510 3.1.16 and 3.3.0. A specially-crafted network request can lead to arbitrary command execution. An attacker can send a sequence of requests to trigger this vulnerability.

🤖 Analiza AI

Jak działa

Podatność wynika z niewystarczającej walidacji danych wejściowych przekazywanych do funkcji sysupgrade, co sklasyfikowano jako CWE-77 i CWE-78 (command injection). Atakujący wysyła specjalnie spreparowaną sekwencję żądań sieciowych zawierającą złośliwy payload. Urządzenie przetwarza dane wejściowe bez odpowiedniego oczyszczenia i przekazuje je bezpośrednio do interpretera poleceń systemowych, co skutkuje wykonaniem wstrzykniętych poleceń.

Skutki

Atakujący uzyskuje możliwość wykonania dowolnych poleceń z uprawnieniami systemu operacyjnego na urządzeniu, co może prowadzić do pełnego przejęcia kontroli nad routerem, naruszenia poufności i integralności danych oraz zakłócenia jego dostępności.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Dodatkowo zaleca się ograniczenie dostępu sieciowego do interfejsu zarządzania urządzenia przy użyciu firewalla lub list ACL oraz izolację urządzeń w dedykowanym segmencie sieci.