CVE-2022-37337

Command Injection w Netgear Orbi Router RBR750 — wykonanie dowolnych poleceń

CVSS 9.1v3.1pub. 2023-03-21upd. 2024-11-21

W oprogramowaniu Netgear Orbi Router RBR750 w wersji 4.6.8.5 istnieje podatność typu command injection w module kontroli dostępu. Zalogowany atakujący może za pomocą spreparowanego żądania HTTP doprowadzić do wykonania dowolnych poleceń systemowych na urządzeniu.

▸ Pokaż oryginał (EN)

A command execution vulnerability exists in the access control functionality of Netgear Orbi Router RBR750 4.6.8.5. A specially-crafted HTTP request can lead to arbitrary command execution. An attacker can make an authenticated HTTP request to trigger this vulnerability.

🤖 Analiza AI

Jak działa

Podatność wynika z niedostatecznej walidacji danych wejściowych w funkcjonalności kontroli dostępu routera (CWE-78 — improper neutralization of special elements used in an OS command). Atakujący uwierzytelniony w interfejsie urządzenia wysyła specjalnie spreparowane żądanie HTTP, które zawiera złośliwy payload. Router przetwarza to żądanie i wykonuje osadzone polecenia systemowe z uprawnieniami procesu obsługującego żądanie, co przy zmienionym zakresie wpływu (Scope: Changed) może skutkować przejęciem kontroli nad całym systemem.

Skutki

Uwierzytelniony atakujący może wykonać dowolne polecenia w systemie operacyjnym routera, co w praktyce oznacza pełne przejęcie kontroli nad urządzeniem, możliwość odczytu i modyfikacji konfiguracji sieci oraz potencjalnie lateral movement w obrębie chronionej sieci.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami — szczegóły zawiera komunikat bezpieczeństwa Netgear PSV-2022-0187 dostępny pod adresem https://kb.netgear.com/000065417/

Kogo dotyczy

Netgear Orbi Router RBR750 z oprogramowaniem w wersji 4.6.8.5

Uwagi

Podatność została zidentyfikowana i zgłoszona przez zespół Cisco Talos (raport TALOS-2022-1596). Wymagane jest uwierzytelnienie, co nieznacznie ogranicza łatwość wykorzystania, jednak wysoki wynik CVSS 9.1 wynika ze zmienionego zakresu wpływu (Scope: Changed) oraz pełnego naruszenia poufności, integralności i dostępności.