CVE-2025-45489

Command injection w Linksys E5600 via parametr hostname (DynDNS)

CVSS 9.8v3.1pub. 2025-05-06upd. 2025-05-13

W oprogramowaniu routera Linksys E5600 w wersji v1.1.0.26 odkryto podatność typu command injection w funkcji DynDNS (runtime.ddnsStatus) poprzez parametr hostname. Podatność jest krytyczna, ponieważ umożliwia zdalnemu, nieuwierzytelnionemu atakującemu wykonanie dowolnych poleceń systemowych na urządzeniu.

▸ Pokaż oryginał (EN)

Linksys E5600 v1.1.0.26 was discovered to contain a command injection vulnerability in the runtime.ddnsStatus DynDNS function via the hostname parameter.

🤖 Analiza AI

Jak działa

Podatność wynika z braku odpowiedniej walidacji i sanityzacji danych wejściowych przekazywanych przez parametr hostname do funkcji runtime.ddnsStatus obsługującej usługę DynDNS. Atakujący może wstrzyknąć do tego parametru złośliwe polecenia systemowe, które zostaną wykonane bezpośrednio przez system operacyjny urządzenia. Wektor ataku jest sieciowy, nie wymaga uwierzytelnienia ani interakcji użytkownika, co czyni eksploitację szczególnie prostą.

Skutki

Skuteczne wykorzystanie podatności pozwala atakującemu na pełne przejęcie kontroli nad urządzeniem — wykonanie dowolnych poleceń z uprawnieniami systemu, odczyt i modyfikację konfiguracji, a także potencjalne wykorzystanie routera jako punktu wejścia do sieci lokalnej.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. W ramach środków doraźnych zaleca się ograniczenie dostępu do interfejsu zarządzania urządzenia wyłącznie do zaufanych hostów oraz wyłączenie funkcji DynDNS, jeśli nie jest używana.

Kogo dotyczy

Linksys E5600 z oprogramowaniem układowym (firmware) w wersji v1.1.0.26

Uwagi

W referencjach dostępny jest publiczny kod proof-of-concept (plik .py) oraz dokumentacja techniczna podatności opublikowane na GitHub przez użytkownika JZP018, co obniża próg wejścia dla potencjalnych atakujących.