CVE-2025-29063

RCE w LB-Link BL-AC2100 — nieprawidłowa obsługa parametru enable

CVSS 9.8v3.1pub. 2025-04-02upd. 2025-04-29

Podatność w oprogramowaniu routera LB-Link BL-AC2100 w wersji V1.0.4 i wcześniejszych umożliwia zdalnemu, nieuwierzytelnionemu atakującemu wykonanie dowolnego kodu na urządzeniu. Wysoki wynik CVSS 9.8 wskazuje na krytyczne zagrożenie dla bezpieczeństwa sieci.

▸ Pokaż oryginał (EN)

An issue in BL-AC2100 V1.0.4 and before allows a remote attacker to execute arbitrary code via the enable parameter passed to /goform/set_hidessid_cfg is not handled properly.

🤖 Analiza AI

Jak działa

Błąd klasy command injection (CWE-77) znajduje się w obsłudze parametru 'enable' przekazywanego do endpointu /goform/set_hidessid_cfg w interfejsie webowym urządzenia. Parametr ten nie jest odpowiednio walidowany ani sanityzowany przed użyciem, co pozwala atakującemu na wstrzyknięcie i wykonanie dowolnych poleceń systemowych. Atak nie wymaga uwierzytelnienia ani interakcji ze strony użytkownika, a jego przeprowadzenie jest możliwe zdalnie przez sieć.

Skutki

Atakujący może uzyskać pełną kontrolę nad urządzeniem, w tym możliwość odczytu i modyfikacji konfiguracji, podsłuchiwania ruchu sieciowego oraz wykorzystania routera jako punktu wejścia do dalszych działań w sieci lokalnej.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Do czasu aktualizacji zaleca się ograniczenie dostępu do panelu administracyjnego urządzenia wyłącznie do zaufanych hostów oraz odizolowanie urządzenia od publicznego dostępu sieciowego za pomocą firewall.

Kogo dotyczy

LB-Link BL-AC2100 z oprogramowaniem w wersji V1.0.4 oraz wersjach wcześniejszych

Uwagi

Szczegółowe informacje techniczne dotyczące podatności zostały opublikowane w referencjach zewnętrznych (yuque.com), co może ułatwić opracowanie exploitu przez potencjalnych atakujących.