CVE-2023-26801

Command injection w routerach LB-LINK przez parametry konfiguracji klienta

CVSS 9.8v3.1pub. 2023-03-26upd. 2025-05-05

Wiele modeli routerów bezprzewodowych LB-LINK zawiera krytyczną podatność command injection, umożliwiającą nieuwierzytelnionemu atakującemu zdalne wykonanie poleceń systemowych. Podatność jest szczególnie niebezpieczna, ponieważ nie wymaga żadnej autoryzacji ani interakcji użytkownika.

▸ Pokaż oryginał (EN)

LB-LINK BL-AC1900_2.0 v1.0.1, LB-LINK BL-WR9000 v2.4.9, LB-LINK BL-X26 v1.2.5, and LB-LINK BL-LTE300 v1.0.8 were discovered to contain a command injection vulnerability via the mac, time1, and time2 parameters at /goform/set_LimitClient_cfg.

🤖 Analiza AI

Jak działa

Podatność występuje w endpoincie /goform/set_LimitClient_cfg, który obsługuje parametry mac, time1 oraz time2. Parametry te nie są odpowiednio walidowane ani sanityzowane przed przekazaniem do poleceń systemowych urządzenia (CWE-77: command injection). Atakujący może wstrzyknąć w wartości tych parametrów dowolne polecenia systemowe, które zostaną wykonane z uprawnieniami procesu obsługującego żądanie na routerze.

Skutki

Atakujący bez uwierzytelnienia może zdalnie wykonać dowolne polecenia systemowe na podatnym urządzeniu, co prowadzi do pełnego przejęcia kontroli nad routerem, naruszenia poufności i integralności danych oraz potencjalnego wykorzystania urządzenia do dalszych ataków sieciowych.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Do czasu aktualizacji zaleca się ograniczenie dostępu do interfejsu administracyjnego routera wyłącznie do zaufanych sieci lokalnych oraz zablokowanie dostępu do panelu zarządzania od strony sieci WAN.

Kogo dotyczy

LB-LINK BL-AC1900_2.0 v1.0.1, LB-LINK BL-WR9000 v2.4.9, LB-LINK BL-X26 v1.2.5, LB-LINK BL-LTE300 v1.0.8

Uwagi

Podatność została publicznie ujawniona wraz z proof-of-concept w repozytorium GitHub użytkownika winmt. Według referencji Akamai podatność była wykorzystywana do rozprzestrzeniania botnetu Mirai.