CVE-2023-50919

GL.iNet — Authentication Bypass w NGINX przez dopasowanie wzorców Lua

CVSS 9.8v3.1pub. 2024-01-12upd. 2025-06-03

Podatność w oprogramowaniu urządzeń GL.iNet umożliwia obejście mechanizmu uwierzytelniania w serwerze NGINX poprzez manipulację dopasowaniem wzorców w języku Lua. Błąd ma ocenę CVSS 9.8 (CRITICAL) i pozwala nieuwierzytelnionemu atakującemu na pełne przejęcie kontroli nad urządzeniem zdalnie przez sieć.

▸ Pokaż oryginał (EN)

An issue was discovered on GL.iNet devices before version 4.5.0. There is an NGINX authentication bypass via Lua string pattern matching. This affects A1300 4.4.6, AX1800 4.4.6, AXT1800 4.4.6, MT3000 4.4.6, MT2500 4.4.6, MT6000 4.5.0, MT1300 4.3.7, MT300N-V2 4.3.7, AR750S 4.3.7, AR750 4.3.7, AR300M 4.3.7, and B1300 4.3.7.

🤖 Analiza AI

Jak działa

Mechanizm uwierzytelniania oparty na NGINX wykorzystuje wzorce Lua (Lua string pattern matching) do weryfikacji żądań. Błędna implementacja tych wzorców umożliwia spreparowanie żądania HTTP w taki sposób, że kontrola dostępu zostaje pominięta — atakujący uzyskuje dostęp do chronionych zasobów bez podania prawidłowych poświadczeń. Podatność jest zdalnie eksploitowalna bez konieczności uwierzytelnienia, interakcji użytkownika ani szczególnych uprawnień. Według opublikowanego exploita umożliwia to również zdalne wykonanie poleceń (RCE) na urządzeniu.

Skutki

Atakujący może uzyskać pełny nieautoryzowany dostęp do interfejsu zarządzania urządzeniem, co skutkuje możliwością odczytu konfiguracji, modyfikacji ustawień sieciowych oraz zdalnego wykonania dowolnych poleceń systemu operacyjnego (RCE).

Mitygacja

Należy zaktualizować oprogramowanie urządzeń GL.iNet do wersji 4.5.0 lub nowszej. Producent opublikował szczegóły poprawki w repozytorium: https://github.com/gl-inet/CVE-issues/blob/main/4.0.0/Authentication-bypass.md. Do czasu wdrożenia patcha zaleca się ograniczenie dostępu do interfejsu zarządzania wyłącznie do zaufanych adresów IP oraz odizolowanie urządzeń od sieci publicznej.

Kogo dotyczy

Urządzenia GL.iNet z oprogramowaniem przed wersją 4.5.0: A1300 4.4.6, AX1800 4.4.6, AXT1800 4.4.6, MT3000 4.4.6, MT2500 4.4.6, MT6000 4.5.0, MT1300 4.3.7, MT300N-V2 4.3.7, AR750S 4.3.7, AR750 4.3.7, AR300M 4.3.7, B1300 4.3.7

Uwagi

Publicznie dostępny exploit umożliwiający RCE bez uwierzytelnienia został opublikowany w serwisie Packet Storm Security (packetstormsecurity.com/files/176708/GL.iNet-Unauthenticated-Remote-Command-Execution.html), co istotnie zwiększa ryzyko praktycznego wykorzystania podatności.