CVE-2025-50526

Command injection w Netgear EX8000 via funkcja switch_status

CVSS 9.8v3.1pub. 2025-12-23upd. 2026-01-02

W oprogramowaniu układowym Netgear EX8000 w wersji V1.0.0.126 odkryto podatność typu command injection w funkcji switch_status. Luka posiada ocenę CVSS 9.8 (CRITICAL) i umożliwia zdalne przejęcie kontroli nad urządzeniem bez uwierzytelnienia.

▸ Pokaż oryginał (EN)

Netgear EX8000 V1.0.0.126 was discovered to contain a command injection vulnerability via the switch_status function.

🤖 Analiza AI

Jak działa

Podatność (CWE-77) polega na nieprawidłowym neutralizowaniu znaków specjalnych przekazywanych do funkcji switch_status, która następnie wykonuje je jako polecenia systemowe. Atakujący może przesłać spreparowane żądanie sieciowe zawierające złośliwy payload bez konieczności posiadania jakichkolwiek poświadczeń dostępu. Wektor ataku jest sieciowy, nie wymaga interakcji użytkownika ani szczególnych uprawnień, co czyni go wyjątkowo niebezpiecznym.

Skutki

Atakujący może wykonać dowolne polecenia systemowe na urządzeniu z potencjalnie najwyższymi uprawnieniami, co prowadzi do pełnej kompromitacji poufności, integralności i dostępności urządzenia — w tym możliwości trwałej modyfikacji konfiguracji sieci lub wykorzystania urządzenia jako punktu wejścia do sieci wewnętrznej.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Do czasu aktualizacji zaleca się izolację panelu zarządzania urządzenia od publicznego dostępu sieciowego oraz ograniczenie dostępu do interfejsu administracyjnego wyłącznie do zaufanych hostów.

Kogo dotyczy

Netgear EX8000 (rozszerzacz zasięgu Wi-Fi) z oprogramowaniem układowym w wersji V1.0.0.126

Uwagi

W referencjach wskazano publicznie dostępne materiały dowodowe, w tym nagranie wideo (PoC) demonstrujące wykorzystanie podatności, opublikowane przez badacza JZP018 na platformie GitHub.