CVE-2024-39602

Wavlink AC3000: command injection w nas.cgi przez external config control

CVSS 9.1v3.1pub. 2025-01-14upd. 2025-08-21

Podatność klasy external config control (CWE-15) w oprogramowaniu routera Wavlink AC3000 M33A8 umożliwia uwierzytelnionemu atakującemu wykonanie dowolnych poleceń systemowych. Luka otrzymała ocenę CVSS 9.1 (CRITICAL) ze względu na pełny wpływ na poufność, integralność i dostępność systemu.

▸ Pokaż oryginał (EN)

An external config control vulnerability exists in the nas.cgi set_nas() functionality of Wavlink AC3000 M33A8.V5030.210505. A specially crafted HTTP request can lead to arbitrary command execution. An attacker can make an authenticated HTTP request to trigger this vulnerability.

🤖 Analiza AI

Jak działa

Podatność znajduje się w funkcji set_nas() pliku nas.cgi oprogramowania sprzętowego Wavlink AC3000 M33A8 w wersji V5030.210505. Atakujący wysyła specjalnie spreparowane żądanie HTTP do endpointu nas.cgi, które zawiera złośliwe dane sterujące konfiguracją zewnętrzną. Niewystarczająca walidacja danych wejściowych powoduje, że przekazane wartości są interpretowane jako polecenia systemowe i wykonywane przez urządzenie. Do wywołania podatności wymagane jest uprzednie uwierzytelnienie się w interfejsie urządzenia.

Skutki

Uwierzytelniony atakujący może doprowadzić do wykonania dowolnych poleceń (RCE) na urządzeniu, uzyskując pełną kontrolę nad jego konfiguracją, danymi oraz siecią, do której jest podłączone. Konsekwencją może być naruszenie poufności i integralności danych oraz utrata dostępności urządzenia.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Do czasu aktualizacji zaleca się ograniczenie dostępu do interfejsu administracyjnego urządzenia wyłącznie do zaufanych adresów IP oraz wyłączenie zdalnego zarządzania przez Internet.