CVE-2022-34592

Command injection w routerze Wavlink WL-WN575A3 via funkcja obtw

CVSS 9.8v3.1pub. 2022-07-07upd. 2024-11-21

Urządzenie Wavlink WL-WN575A3 z oprogramowaniem RPT75A3.V4300.201217 zawiera krytyczną podatność typu command injection w funkcji obtw. Luka umożliwia nieuwierzytelnionemu atakującemu zdalne wykonanie dowolnych poleceń systemowych.

▸ Pokaż oryginał (EN)

Wavlink WL-WN575A3 RPT75A3.V4300.201217 was discovered to contain a command injection vulnerability via the function obtw. This vulnerability allows attackers to execute arbitrary commands via a crafted POST request.

🤖 Analiza AI

Jak działa

Podatność znajduje się w funkcji obtw w oprogramowaniu układowym routera. Atakujący wysyła specjalnie spreparowane żądanie HTTP POST zawierające złośliwy payload, który jest następnie przekazywany do funkcji systemowej bez odpowiedniej walidacji i sanityzacji danych wejściowych. Brak filtrowania znaków specjalnych umożliwia wstrzyknięcie i wykonanie arbitralnych poleceń z uprawnieniami procesu obsługującego żądanie.

Skutki

Atakujący może zdalnie wykonać dowolne polecenia na urządzeniu bez konieczności uwierzytelnienia, co w praktyce oznacza pełne przejęcie kontroli nad routerem, możliwość modyfikacji konfiguracji, przechwycenia ruchu sieciowego lub wykorzystania urządzenia jako punktu wejścia do sieci wewnętrznej.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. W przypadku braku dostępnej aktualizacji zaleca się odizolowanie urządzenia od sieci publicznej, ograniczenie dostępu do panelu administracyjnego wyłącznie do zaufanych adresów IP oraz rozważenie zastąpienia urządzenia modelem wspieranym przez producenta.