CVE-2022-37149

Command injection w routerze WAVLINK WL-WN575A3 przez parametr username

CVSS 9.8v3.1pub. 2022-08-30upd. 2024-11-21

W oprogramowaniu routera WAVLINK WL-WN575A3 (wersja RPT75A3.V4300.201217) odkryto podatność typu command injection w pliku adm.cgi. Nieuprawniony zdalny atakujący może wykonać dowolne polecenia systemowe bez żadnego uwierzytelnienia.

▸ Pokaż oryginał (EN)

WAVLINK WL-WN575A3 RPT75A3.V4300.201217 was discovered to contain a command injection vulnerability when operating the file adm.cgi. This vulnerability allows attackers to execute arbitrary commands via the username parameter.

🤖 Analiza AI

Jak działa

Podatność wynika z braku odpowiedniej walidacji danych wejściowych w parametrze username obsługiwanym przez skrypt adm.cgi. Atakujący może wstrzyknąć złośliwe polecenia systemowe poprzez spreparowane żądanie HTTP zawierające odpowiednio skonstruowaną wartość tego parametru. Ponieważ atak nie wymaga uwierzytelnienia ani interakcji użytkownika, jest możliwy do przeprowadzenia zdalnie przez sieć.

Skutki

Atakujący może wykonać dowolne polecenia z uprawnieniami procesu obsługującego żądanie, co w praktyce może oznaczać pełne przejęcie kontroli nad urządzeniem, w tym odczyt i modyfikację danych konfiguracyjnych oraz naruszenie dostępności urządzenia.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Zaleca się również ograniczenie dostępu do interfejsu administracyjnego urządzenia wyłącznie do zaufanych sieci lokalnych oraz zablokowanie dostępu do panelu zarządzania od strony sieci WAN.