CVE-2024-9644

Auth Bypass w routerze Four-Faith F3x36 – pominięcie uwierzytelnienia

CVSS 9.8v3.1pub. 2025-02-04upd. 2025-09-19

Router Four-Faith F3x36 z firmware v2.0.0 zawiera podatność umożliwiającą ominięcie uwierzytelnienia w administracyjnym panelu webowym. Zdalny, nieuwierzytelniony atakujący może modyfikować konfigurację urządzenia bez podawania jakichkolwiek danych dostępowych.

▸ Pokaż oryginał (EN)

The Four-Faith F3x36 router using firmware v2.0.0 is vulnerable to an authentication bypass vulnerability in the administrative web server. Authentication is not enforced on some administrative functionality when using the "bapply.cgi" endpoint instead of the normal "apply.cgi" endpoint. A remote and unauthenticated can use this vulnerability to modify settings or chain with existing authenticated vulnerabilities.

🤖 Analiza AI

Jak działa

Aplikacja webowa routera wymaga uwierzytelnienia dla standardowego endpointu 'apply.cgi', jednak nie egzekwuje go dla alternatywnego endpointu 'bapply.cgi', który udostępnia część tej samej funkcjonalności administracyjnej. Atakujący może kierować żądania bezpośrednio do 'bapply.cgi', całkowicie pomijając mechanizm kontroli dostępu (CWE-306 – brak uwierzytelnienia dla funkcji krytycznych, CWE-489 – aktywny pozostałościowy endpoint deweloperski/diagnostyczny). Podatność jest eksploatowalna zdalnie przez sieć bez konieczności posiadania konta ani interakcji użytkownika.

Skutki

Atakujący może modyfikować ustawienia routera bez uwierzytelnienia, a także łączyć tę podatność z innymi lukami wymagającymi wcześniejszego uwierzytelnienia, potencjalnie uzyskując pełną kontrolę nad urządzeniem, przechwytując ruch sieciowy lub zakłócając dostępność sieci.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Do czasu wdrożenia aktualizacji zaleca się ograniczenie dostępu do panelu administracyjnego wyłącznie do zaufanych adresów IP (np. poprzez firewall lub ACL) oraz izolację urządzeń w dedykowanym segmencie sieci.