CVE-2023-46542

Stack overflow w TOTOLINK X2000R — funkcja formMeshUploadConfig

CVSS 9.8v3.1pub. 2023-10-25upd. 2024-11-21

W oprogramowaniu sprzętowym routera TOTOLINK X2000R wykryto przepełnienie stosu (stack overflow) w funkcji formMeshUploadConfig. Podatność posiada ocenę CVSS 9.8 (CRITICAL) i umożliwia zdalne przejęcie kontroli nad urządzeniem bez uwierzytelnienia.

▸ Pokaż oryginał (EN)

TOTOLINK X2000R Gh v1.0.0-B20230221.0948.web was discovered to contain a stack overflow via the function formMeshUploadConfig.

🤖 Analiza AI

Jak działa

Atakujący wysyła specjalnie spreparowane żądanie do funkcji formMeshUploadConfig, powodując przepełnienie bufora na stosie (CWE-787 — zapis poza granicami bufora). Podatność jest dostępna zdalnie przez sieć, nie wymaga żadnych uprawnień ani interakcji użytkownika. Exploitacja może pozwolić na nadpisanie krytycznych danych na stosie, w tym adresu powrotu funkcji, co otwiera drogę do wykonania dowolnego kodu.

Skutki

Atakujący może zdalnie wykonać dowolny kod na urządzeniu (RCE), uzyskać pełną kontrolę nad routerem, a także naruszyć poufność, integralność i dostępność systemu oraz sieci lokalnej za nim stojącej.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami — strona pobierania TOTOLINK: https://totolink.cn/home/menu/detail.html?menu_listtpl=download&id=85&ids=36. Do czasu aktualizacji zaleca się ograniczenie dostępu do panelu administracyjnego urządzenia wyłącznie do zaufanych hostów oraz izolację urządzenia od sieci publicznej.

Kogo dotyczy

TOTOLINK X2000R Firmware w wersji v1.0.0-B20230221.0948.web

Uwagi

Podatność została zgłoszona przez użytkownika XYIYM i udokumentowana w repozytorium GitHub. Luka dotyczy konkretnej wersji firmware oznaczonej datą kompilacji 2023-02-21.