CVE-2024-28354

Podatność znajduje się w interfejsie apply.cgi routera i polega na braku odpowiedniej walidacji danych wejściowych w parametrach POST żądania — konkretnie w parametrze 'usapps.@smb[%d].username'. Atakujący może wstrzyknąć dowolne polecenia systemowe poprzez odpowiednio spreparowane żądanie HTTP POST. Ponieważ atak nie wymaga uwierzytelnienia ani interakcji użytkownika, a wektor ataku jest sieciowy, podatność jest szczególnie niebezpieczna dla urządzeń dostępnych z Internetu.

Atakujący uzyskuje interaktywną sesję powłoki systemowej (root shell) na urządzeniu, co oznacza pełne przejęcie kontroli nad routerem — możliwość modyfikacji konfiguracji sieci, przechwytywania ruchu, instalacji malware oraz wykorzystania urządzenia jako punktu wyjścia do dalszych ataków na sieć wewnętrzną.

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Do czasu aktualizacji zaleca się ograniczenie dostępu do interfejsu zarządzania routerem wyłącznie do zaufanych hostów w sieci lokalnej oraz zablokowanie dostępu do panelu administracyjnego od strony WAN.

Router TRENDnet TEW-827DRU z wersją firmware 2.10B01