CVE-2024-31810

Producent umieścił w obrazie firmware statyczne, niezmienne hasło dla konta root, przechowywane w pliku /etc/shadow.sample. Ponieważ hasło jest identyczne we wszystkich egzemplarzach urządzenia z daną wersją oprogramowania, atakujący który je pozna (np. przez analizę firmware) może zalogować się na konto root na dowolnym podatnym urządzeniu. Podatność klasyfikowana jest jako CWE-798 (użycie zakodowanych na stałe poświadczeń) oraz CWE-259 (zakodowane na stałe hasło).

Atakujący uzyskuje pełne uprawnienia administratora (root) na urządzeniu, co umożliwia przejęcie pełnej kontroli nad routerem/extenderem, modyfikację jego konfiguracji, przechwytywanie ruchu sieciowego oraz potencjalne wykorzystanie urządzenia jako punktu wejścia do sieci lokalnej.

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Do czasu uzyskania aktualizacji zaleca się ograniczenie dostępu do interfejsu zarządzania urządzeniem wyłącznie z zaufanych segmentów sieci oraz izolację urządzenia od krytycznych zasobów sieciowych.

TOTOLINK EX200 z firmware w wersji V4.0.3c.7646_B20201211

Podatność została zgłoszona przez badacza 4hsien, który opublikował szczegółowy opis techniczny w repozytorium GitHub (github.com/4hsien/CVE-vulns).