CVE-2022-35521

Command injection w firewall.cgi urządzeń WAVLINK — brak filtrowania parametrów

CVSS 9.8v3.1pub. 2022-08-10upd. 2024-11-21

Podatność typu command injection w pliku firewall.cgi routerów WAVLINK umożliwia nieuwierzytelnionemu atakującemu zdalne wykonanie dowolnych poleceń systemowych. Brak filtrowania kluczowych parametrów sprawia, że zagrożenie jest krytyczne i nie wymaga żadnej interakcji użytkownika.

▸ Pokaż oryginał (EN)

WAVLINK WN572HP3, WN533A8, WN530H4, WN535G3, WN531P3 firewall.cgi has no filtering on parameters: remoteManagementEnabled, blockPortScanEnabled, pingFrmWANFilterEnabled and blockSynFloodEnabled, which leads to command injection in page /man_security.shtml.

🤖 Analiza AI

Jak działa

Plik firewall.cgi obsługujący stronę /man_security.shtml nie filtruje danych wejściowych przekazywanych w parametrach: remoteManagementEnabled, blockPortScanEnabled, pingFrmWANFilterEnabled oraz blockSynFloodEnabled. Atakujący może wstrzyknąć złośliwe polecenia systemowe poprzez sieć, bez konieczności uwierzytelniania ani interakcji ze strony ofiary. Podatność jest dostępna zdalnie przez interfejs sieciowy urządzenia.

Skutki

Atakujący może przejąć pełną kontrolę nad urządzeniem, wykonując dowolne polecenia systemowe z uprawnieniami procesu obsługującego żądania — co może prowadzić do naruszenia poufności, integralności i dostępności systemu oraz całej obsługiwanej sieci.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Jako środek tymczasowy zaleca się ograniczenie dostępu do interfejsu zarządzania urządzenia wyłącznie do zaufanych adresów IP oraz wyłączenie zdalnego zarządzania przez WAN, jeśli nie jest wymagane.