CVE-2024-39754

Statyczne dane logowania w firmware Wavlink AC3000 umożliwiają dostęp root

CVSS 10.0v3.1pub. 2025-01-14upd. 2025-08-21

Podatność statycznych danych logowania (CWE-912) w firmware Wavlink AC3000 M33A8 pozwala nieuwierzytelnionemu atakującemu uzyskać dostęp root do urządzenia. Krytyczny poziom zagrożenia (CVSS 10.0) wynika z braku konieczności uwierzytelnienia i możliwości całkowitego przejęcia kontroli nad urządzeniem.

▸ Pokaż oryginał (EN)

A static login vulnerability exists in the wctrls functionality of Wavlink AC3000 M33A8.V5030.210505. A specially crafted set of network packets can lead to root access. An attacker can send packets to trigger this vulnerability.

🤖 Analiza AI

Jak działa

W funkcjonalności wctrls urządzenia Wavlink AC3000 M33A8 zakodowane są statyczne dane logowania, które nie mogą być zmienione przez użytkownika. Atakujący, przesyłając specjalnie spreparowany zestaw pakietów sieciowych do podatnego urządzenia, może wykorzystać te dane do uwierzytelnienia się bez znajomości żadnych poświadczeń. W wyniku tego atakujący uzyskuje dostęp na poziomie root bez konieczności jakiejkolwiek interakcji ze strony użytkownika.

Skutki

Atakujący uzyskuje pełny, nieuwierzytelniony dostęp root do urządzenia, co oznacza całkowite przejęcie kontroli — możliwość odczytu i modyfikacji konfiguracji, przechwytywania ruchu sieciowego oraz dalszego wykorzystania urządzenia jako punktu wejścia do sieci.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Rekomenduje się ograniczenie dostępu sieciowego do panelu zarządzania urządzenia (filtrowanie na poziomie firewall, izolacja w sieci VLAN) do czasu wdrożenia aktualizacji.