CVE-2020-37125

Podatność klasy command injection (CWE-78) występuje w endpoincie /goform/mp dostępnym bez uwierzytelnienia. Atakujący wysyła spreparowane żądanie POST zawierające payload z wstrzykniętymi poleceniami systemowymi. Urządzenie przetwarza dane wejściowe bez odpowiedniej walidacji i sanityzacji, przekazując je bezpośrednio do interpretera poleceń systemowych. W ten sposób możliwe jest pobranie i uruchomienie złośliwych skryptów na urządzeniu.

Nieuprawniony zdalny atakujący może wykonać dowolne polecenia systemowe na urządzeniu sieciowym, co prowadzi do pełnego przejęcia kontroli, możliwości instalacji złośliwego oprogramowania oraz potencjalnego wykorzystania urządzenia jako punktu wejścia do sieci wewnętrznej.

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Jako natychmiastowe obejście zaleca się izolację urządzenia od publicznego dostępu sieciowego, ograniczenie dostępu do interfejsu zarządzania wyłącznie do zaufanych hostów oraz monitorowanie ruchu sieciowego kierowanego do endpointu /goform/mp.

Edimax EW-7438RPn-v3 Mini z firmware w wersji 1.27

Dla tej podatności istnieje publiczny exploit opublikowany w Exploit-DB (exploits/48318), co znacząco obniża próg wejścia dla potencjalnych atakujących i zwiększa ryzyko praktycznego wykorzystania.