CVE-2024-22729

Command injection w NETIS SYSTEMS MW5360 przez parametr hasła na stronie logowania

CVSS 9.8v3.1pub. 2024-01-25upd. 2025-06-04

Urządzenie NETIS SYSTEMS MW5360 w wersji V1.0.1.3031 zawiera podatność typu command injection w parametrze hasła na stronie logowania. Błąd jest krytyczny, ponieważ umożliwia nieuwierzytelnionemu atakującemu zdalne wykonanie dowolnych poleceń systemowych.

▸ Pokaż oryginał (EN)

NETIS SYSTEMS MW5360 V1.0.1.3031 was discovered to contain a command injection vulnerability via the password parameter on the login page.

🤖 Analiza AI

Jak działa

Podatność wynika z braku odpowiedniej walidacji i sanityzacji danych wejściowych przekazywanych w parametrze hasła na stronie logowania urządzenia. Atakujący może wstrzyknąć złośliwe polecenia systemowe bezpośrednio w tym polu, które następnie są wykonywane przez urządzenie z uprawnieniami procesu obsługującego logowanie. Atak nie wymaga żadnego uwierzytelnienia ani interakcji po stronie użytkownika, a wektor sieciowy oznacza, że może być przeprowadzony zdalnie.

Skutki

Atakujący może zdalnie wykonać dowolne polecenia systemowe na podatnym urządzeniu, co prowadzi do pełnego przejęcia kontroli nad routerem, utraty poufności i integralności danych oraz potencjalnego zakłócenia jego działania.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Do czasu wdrożenia aktualizacji zaleca się ograniczenie dostępu do interfejsu administracyjnego urządzenia wyłącznie do zaufanych sieci lokalnych oraz zablokowanie dostępu z sieci WAN.

Kogo dotyczy

NETIS SYSTEMS MW5360 Firmware w wersji V1.0.1.3031

Uwagi

Szczegółowy opis podatności wraz z dowodem jej istnienia (proof of concept) został opublikowany w repozytorium GitHub użytkownika adhikara13, co zwiększa ryzyko wykorzystania błędu przez nieuprawnione osoby.