CVE-2025-34024

OS Command Injection w Edimax EW-7438RPn Mini — wykonanie poleceń jako root

CVSS 9.4v4.0pub. 2025-06-20upd. 2025-11-20

Podatność typu command injection w oprogramowaniu układowym Edimax EW-7438RPn Mini (wersja 1.13 i wcześniejsze) umożliwia uwierzytelnionemu atakującemu wykonanie dowolnych poleceń systemu operacyjnego z uprawnieniami root. Jest to krytyczna luka, ponieważ daje pełną kontrolę nad urządzeniem bez konieczności posiadania zaawansowanych uprawnień.

▸ Pokaż oryginał (EN)

An OS command injection vulnerability exists in the Edimax EW-7438RPn firmware version 1.13 and prior via the mp.asp form handler. The /goform/mp endpoint improperly handles user-supplied input to the command parameter. An authenticated attacker can inject shell commands using shell metacharacters to achieve arbitrary command execution as the root user. Exploitation evidence was observed by the Shadowserver Foundation on 2024-09-14 UTC.

🤖 Analiza AI

Jak działa

Podatność dotyczy handlera formularza mp.asp, dostępnego poprzez endpoint /goform/mp. Parametr 'command' przekazywany przez użytkownika nie jest odpowiednio walidowany ani filtrowany, co pozwala na wstrzyknięcie dowolnych poleceń powłoki za pomocą metaznaków shellowych (np. średnik, potok). Uwierzytelniony atakujący może w ten sposób wykonać dowolny kod jako użytkownik root. Dowody na aktywne wykorzystanie tej podatności zostały odnotowane przez Shadowserver Foundation w dniu 14 września 2024 roku.

Skutki

Atakujący uzyskuje pełną kontrolę nad urządzeniem z uprawnieniami root, co umożliwia odczyt i modyfikację konfiguracji, instalację złośliwego oprogramowania, przechwytywanie ruchu sieciowego oraz wykorzystanie urządzenia jako punktu wejścia do sieci wewnętrznej.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Zaleca się sprawdzenie dostępności aktualizacji oprogramowania układowego na stronie producenta Edimax. Jako środek tymczasowy należy ograniczyć dostęp do interfejsu zarządzania urządzenia wyłącznie do zaufanych hostów oraz rozważyć izolację urządzenia od pozostałej infrastruktury sieciowej.

Kogo dotyczy

Edimax EW-7438RPn Mini z oprogramowaniem układowym w wersji 1.13 oraz wszystkich wcześniejszych wersjach.

Uwagi

Shadowserver Foundation odnotowała dowody aktywnego wykorzystania tej podatności w dniu 14 września 2024 roku (UTC). Podatność jest również udokumentowana w Exploit-DB (exploit nr 48377). Pomimo potwierdzonych dowodów eksploatacji, podatność nie figuruje na liście CISA KEV.

CVSS Vector

CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X