CVE-2023-27078

Command injection w TP-Link MR3020 — zdalne wykonanie kodu przez endpoint TFTP

CVSS 9.8v3.1pub. 2023-03-23upd. 2025-02-25

W oprogramowaniu routera TP-Link TL-MR3020 w wersji v.1_150921 odkryto podatność typu command injection, która umożliwia nieuwierzytelnionemu atakującemu zdalne wykonanie dowolnych poleceń systemowych. Wysoki wynik CVSS 9.8 odzwierciedla krytyczność problemu — atakujący nie potrzebuje żadnych uprawnień ani interakcji ofiary.

▸ Pokaż oryginał (EN)

A command injection issue was found in TP-Link MR3020 v.1_150921 that allows a remote attacker to execute arbitrary commands via a crafted request to the tftp endpoint.

🤖 Analiza AI

Jak działa

Podatność tkwi w obsłudze endpointu TFTP na urządzeniu. Atakujący wysyła specjalnie spreparowane żądanie sieciowe do tego endpointu, zawierające złośliwe dane wejściowe, które nie są odpowiednio walidowane ani sanityzowane. Dane te trafiają bezpośrednio do interpretera poleceń systemowych (CWE-77), co pozwala na wstrzyknięcie i wykonanie dowolnych komend w kontekście systemu operacyjnego routera.

Skutki

Atakujący może zdalnie przejąć pełną kontrolę nad urządzeniem — odczytać poufne dane konfiguracyjne, modyfikować ustawienia sieci lub wykorzystać router jako punkt wejścia do dalszych ataków na sieć wewnętrzną (lateral movement).

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Do czasu aktualizacji zaleca się ograniczenie dostępu do interfejsu zarządzania urządzenia wyłącznie do zaufanych adresów IP oraz zablokowanie nieautoryzowanego dostępu do usługi TFTP na poziomie firewall.

Kogo dotyczy

TP-Link TL-MR3020 z firmware w wersji v.1_150921

Uwagi

Podatność została udokumentowana przez badacza w repozytorium GitHub (B2eFly/Router). Dotyczy konkretnej wersji firmware oznaczonej datą 150921 (21 września 2015), co sugeruje, że jest to starszy sprzęt, który może nie otrzymać oficjalnego patcha od producenta.