CVE-2024-38666

Podatność external config control w Wavlink AC3000 — zdalne wykonanie poleceń

CVSS 9.1v3.1pub. 2025-01-14upd. 2025-08-21

W oprogramowaniu routera Wavlink AC3000 (M33A8.V5030.210505) wykryto krytyczną podatność klasy external config control w komponencie obsługującym konfigurację klienta OpenVPN. Uwierzytelniony atakujący może za pomocą spreparowanego żądania HTTP doprowadzić do wykonania dowolnych poleceń systemowych.

▸ Pokaż oryginał (EN)

An external config control vulnerability exists in the openvpn.cgi openvpn_client_setup() functionality of Wavlink AC3000 M33A8.V5030.210505. A specially crafted HTTP request can lead to arbitrary command execution. An attacker can make an authenticated HTTP request to trigger this vulnerability.

🤖 Analiza AI

Jak działa

Podatność znajduje się w funkcji openvpn_client_setup() pliku openvpn.cgi, odpowiedzialnej za konfigurację klienta OpenVPN. Aplikacja nieprawidłowo kontroluje zewnętrznie dostarczane dane konfiguracyjne (CWE-15), co umożliwia ich przemycenie do wywołań systemowych. Atakujący musi posiadać uwierzytelnioną sesję HTTP i wysłać specjalnie spreparowane żądanie, które powoduje wykonanie dowolnego polecenia w kontekście systemu operacyjnego urządzenia.

Skutki

Atakujący z dostępem do uwierzytelnionej sesji może wykonać dowolne polecenia systemu operacyjnego na urządzeniu, co prowadzi do pełnego przejęcia kontroli nad routerem, ujawnienia poufnych danych oraz potencjalnego naruszenia integralności sieci obsługiwanej przez urządzenie.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Zalecane jest ograniczenie dostępu do panelu administracyjnego urządzenia wyłącznie do zaufanych adresów IP oraz wyłączenie zdalnego zarządzania jeśli nie jest ono niezbędne.

Kogo dotyczy

Wavlink AC3000 M33A8 z oprogramowaniem w wersji V5030.210505 (produkty Wl-Wn533A8 / Wl-Wn533A8 Firmware).

Uwagi

Podatność została zgłoszona i opisana przez Cisco Talos Intelligence (raport TALOS-2024-2051). Wymagane jest uwierzytelnienie do przeprowadzenia ataku, co nieznacznie obniża realną ekspozycję, jednak krytyczny wynik CVSS (9.1) wynika z możliwości przejęcia kontroli nad urządzeniem sieciowym z poziomu sieci bez interakcji użytkownika (S:C, UI:N).