CVE-2024-10119

Command injection w routerze SECOM WRTM326 — zdalne wykonanie poleceń

CVSS 9.8v3.1pub. 2024-10-18upd. 2024-11-01

Router bezprzewodowy WRTM326 firmy SECOM nie waliduje poprawnie określonego parametru żądania sieciowego, co umożliwia nieuwierzytelnionemu atakującemu zdalne wykonanie dowolnych poleceń systemowych. Podatność jest krytyczna ze względu na brak wymogu uwierzytelnienia i pełny dostęp do systemu operacyjnego urządzenia.

▸ Pokaż oryginał (EN)

The wireless router WRTM326 from SECOM does not properly validate a specific parameter. An unauthenticated remote attacker could execute arbitrary system commands by sending crafted requests.

🤖 Analiza AI

Jak działa

Atakujący wysyła specjalnie spreparowane żądanie sieciowe do urządzenia, zawierające złośliwe dane w parametrze, który nie jest odpowiednio walidowany przez firmware routera. Brak sanityzacji danych wejściowych (CWE-78 — command injection) powoduje, że przekazane polecenia są wykonywane bezpośrednio przez system operacyjny urządzenia. Atak nie wymaga żadnego uwierzytelnienia ani interakcji ze strony użytkownika, co czyni go szczególnie niebezpiecznym.

Skutki

Atakujący może uzyskać pełną kontrolę nad urządzeniem — wykonywać dowolne polecenia systemowe, modyfikować konfigurację sieci, przechwytywać ruch sieciowy lub wykorzystać router jako punkt wejścia do dalszej penetracji infrastruktury (lateral movement).

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami (TWCERT/CC: https://www.twcert.org.tw/en/cp-139-8157-e0461-2.html). Do czasu aktualizacji zaleca się ograniczenie dostępu do interfejsu zarządzania routerem wyłącznie do zaufanych adresów IP oraz odizolowanie urządzenia od publicznej sieci Internet za pomocą firewall.