CVE-2025-45487

Command injection w Linksys E5600 — funkcja runtime.InternetConnection

CVSS 9.8v3.1pub. 2025-05-06upd. 2025-05-13

W urządzeniu Linksys E5600 w wersji firmware v1.1.0.26 wykryto podatność typu command injection w funkcji runtime.InternetConnection. Podatność uzyskała ocenę CVSS 9.8 (CRITICAL) i pozwala nieuwierzytelnionemu atakującemu na zdalne wykonanie dowolnych poleceń systemowych.

▸ Pokaż oryginał (EN)

Linksys E5600 v1.1.0.26 was discovered to contain a command injection vulnerability in the runtime.InternetConnection function.

🤖 Analiza AI

Jak działa

Podatność wynika z nieprawidłowej walidacji lub braku sanityzacji danych wejściowych przekazywanych do funkcji runtime.InternetConnection w firmware routera. Atakujący może dostarczyć spreparowane dane wejściowe zawierające złośliwe polecenia systemowe, które zostaną wykonane w kontekście systemu operacyjnego urządzenia. Ze względu na wektor sieciowy (AV:N) oraz brak wymagań co do uwierzytelnienia (PR:N) i interakcji użytkownika (UI:N), atak może być przeprowadzony zdalnie bez żadnych uprawnień.

Skutki

Skuteczne wykorzystanie podatności może umożliwić atakującemu pełne przejęcie kontroli nad urządzeniem, w tym odczyt i modyfikację danych konfiguracyjnych, instalację złośliwego oprogramowania oraz wykorzystanie routera jako punktu wejścia do sieci lokalnej.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Do czasu aktualizacji zaleca się ograniczenie dostępu do interfejsu zarządzającego urządzenia wyłącznie do zaufanych adresów IP oraz wyłączenie zdalnego zarządzania od strony sieci WAN.

Kogo dotyczy

Linksys E5600 z firmware w wersji v1.1.0.26

Uwagi

W referencjach dostępne są publiczne materiały proof-of-concept (plik PDF z opisem oraz skrypt Python) opublikowane przez badacza JZP018 w serwisie GitHub, co może znacząco ułatwić opracowanie działającego exploita.