CVE-2023-39367

OS command injection w interfejsie web Peplink Smart Reader (mac2name)

CVSS 9.1v3.1pub. 2024-04-17upd. 2025-11-04

W funkcji mac2name interfejsu webowego urządzenia Peplink Smart Reader v1.2.0 istnieje podatność klasy OS command injection. Umożliwia ona uwierzytelnionemu atakującemu wykonanie dowolnych poleceń systemowych na urządzeniu, co przy ocenie CVSS 9.1 klasyfikuje ją jako krytyczną.

▸ Pokaż oryginał (EN)

An OS command injection vulnerability exists in the web interface mac2name functionality of Peplink Smart Reader v1.2.0 (in QEMU). A specially crafted HTTP request can lead to arbitrary command execution. An attacker can make an authenticated HTTP request to trigger this vulnerability.

🤖 Analiza AI

Jak działa

Podatność wynika z nieprawidłowej walidacji danych wejściowych w funkcji mac2name dostępnej przez interfejs webowy. Atakujący może wysłać specjalnie spreparowane żądanie HTTP zawierające złośliwe dane, które są przekazywane bezpośrednio do powłoki systemowej bez odpowiedniego sanityzowania. Exploit wymaga uwierzytelnienia w interfejsie webowym urządzenia, jednak po jego uzyskaniu możliwe jest wykonanie dowolnych poleceń z uprawnieniami procesu obsługującego interfejs.

Skutki

Uwierzytelniony atakujący może wykonać dowolne polecenia systemowe na urządzeniu, co może prowadzić do pełnego przejęcia kontroli nad urządzeniem, ujawnienia poufnych danych, modyfikacji konfiguracji oraz naruszenia dostępności systemu.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami — szczegółowe informacje dostępne w oficjalnym komunikacie bezpieczeństwa Peplink pod adresem wskazanym w referencjach producenta

Kogo dotyczy

Peplink Smart Reader w wersji firmware 1.2.0

Uwagi

Podatność została zidentyfikowana i opisana przez Cisco Talos Intelligence (raport TALOS-2023-1867). Podatność weryfikowano na emulowanym środowisku QEMU z firmware w wersji 1.2.0.