CVE-2025-28219

OS command injection w Netgear DC112A — zdalne wykonanie poleceń

CVSS 9.8v3.1pub. 2025-03-28upd. 2025-05-02

Netgear DC112A w wersji firmware V1.0.0.64 zawiera krytyczną podatność typu command injection w pliku usb_adv.cgi, umożliwiającą nieuwierzytelnionemu atakującemu zdalne wykonanie dowolnych poleceń systemowych. Brak wymogu uwierzytelnienia oraz sieciowy charakter wektora ataku czynią tę podatność szczególnie niebezpieczną.

▸ Pokaż oryginał (EN)

Netgear DC112A V1.0.0.64 has an OS command injection vulnerability in the usb_adv.cgi, which allows remote attackers to execute arbitrary commands via parameter "deviceName" passed to the binary through a POST request.

🤖 Analiza AI

Jak działa

Podatność wynika z braku odpowiedniej walidacji i sanityzacji parametru 'deviceName' przekazywanego do skryptu usb_adv.cgi poprzez żądanie HTTP POST. Atakujący może wstrzyknąć w wartość tego parametru dowolne polecenia systemu operacyjnego, które zostają wykonane przez urządzenie z jego uprawnieniami. Atak nie wymaga żadnego uwierzytelnienia ani interakcji po stronie użytkownika, a zasięg wektora ataku jest sieciowy.

Skutki

Atakujący może uzyskać pełną kontrolę nad urządzeniem poprzez zdalne wykonanie dowolnych poleceń systemowych, co może prowadzić do naruszenia poufności, integralności oraz dostępności urządzenia i danych przez nie przetwarzanych.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Jeśli aktualizacja nie jest dostępna, zaleca się ograniczenie dostępu do interfejsu zarządzania urządzeniem wyłącznie do zaufanych hostów poprzez segmentację sieci lub firewall oraz wyłączenie nieużywanych funkcji USB.

Kogo dotyczy

Netgear DC112A z firmware w wersji V1.0.0.64

Uwagi

Szczegóły techniczne podatności zostały opublikowane w repozytorium GitHub (IdaJea/IOT_vuln_1) wraz z dokumentacją analizy binarnej (sub_69600.pdf). Podatność dotyczy konkretnej, publicznie udokumentowanej wersji firmware V1.0.0.64.