CVE-2023-23080

Command injection w urządzeniach Tenda CP/IT7 — nieautoryzowane wykonanie poleceń

CVSS 9.8v3.1pub. 2023-02-27upd. 2024-11-21

Wybrane produkty Tenda są podatne na command injection, umożliwiający zdalne wykonanie dowolnych poleceń systemowych bez uwierzytelnienia. Podatność uzyskała ocenę CVSS 9.8, co czyni ją zagrożeniem krytycznym dla infrastruktury sieciowej.

▸ Pokaż oryginał (EN)

Certain Tenda products are vulnerable to command injection. This affects Tenda CP7 Tenda CP7<=V11.10.00.2211041403 and Tenda CP3 v.10 Tenda CP3 v.10<=V20220906024_2025 and Tenda IT7-PCS Tenda IT7-PCS<=V2209020914 and Tenda IT7-LCS Tenda IT7-LCS<=V2209020914 and Tenda IT7-PRS Tenda IT7-PRS<=V2209020908.

🤖 Analiza AI

Jak działa

Podatność sklasyfikowana jako CWE-77 (Improper Neutralization of Special Elements used in a Command) polega na niewystarczającej walidacji danych wejściowych przekazywanych do funkcji wykonujących polecenia systemowe. Atakujący zdalnie, bez uwierzytelnienia i bez interakcji użytkownika, może wstrzyknąć złośliwe polecenia, które zostaną wykonane w kontekście systemu operacyjnego urządzenia.

Skutki

Atakujący może uzyskać pełną kontrolę nad urządzeniem, w tym odczytywać i modyfikować dane, instalować złośliwe oprogramowanie oraz wykorzystywać urządzenie jako punkt wejścia do dalszych działań w sieci (lateral movement).

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. W przypadku braku dostępnej aktualizacji zaleca się ograniczenie dostępu sieciowego do podatnych urządzeń (np. poprzez firewall lub segmentację sieci) oraz unikanie ich eksponowania bezpośrednio na Internet.

Kogo dotyczy

Tenda CP7 w wersji <= V11.10.00.2211041403, Tenda CP3 v.10 w wersji <= V20220906024_2025, Tenda IT7-PCS w wersji <= V2209020914, Tenda IT7-LCS w wersji <= V2209020914, Tenda IT7-PRS w wersji <= V2209020908.

Uwagi

Szczegółowy opis techniczny podatności oraz materiały dowodowe (proof-of-concept) zostały opublikowane w repozytorium GitHub użytkownika fxc233 pod adresem https://github.com/fxc233/iot-vul/tree/main/Tenda/IPC.