CVE-2023-46454

Command injection w routerach GL.iNET GL-AR300M przez nazwę pakietu

CVSS 9.8v3.1pub. 2023-12-12upd. 2024-11-21

Routery GL.iNET GL-AR300M z oprogramowaniem w wersji 4.3.7 są podatne na wstrzyknięcie dowolnych poleceń powłoki (command injection) poprzez spreparowaną nazwę pakietu w funkcji informacji o pakietach. Podatność jest krytyczna, ponieważ nie wymaga uwierzytelnienia i może być wykorzystana zdalnie.

▸ Pokaż oryginał (EN)

In GL.iNET GL-AR300M routers with firmware v4.3.7, it is possible to inject arbitrary shell commands through a crafted package name in the package information functionality.

🤖 Analiza AI

Jak działa

Atakujący wysyła żądanie sieciowe do funkcji zarządzania pakietami na urządzeniu, podając spreparowaną nazwę pakietu zawierającą złośliwe polecenia powłoki (shell). Dane wejściowe nie są odpowiednio walidowane ani sanityzowane przed przekazaniem do interpretera poleceń systemu operacyjnego. W efekcie dostarczone przez atakującego polecenia są wykonywane bezpośrednio w kontekście systemu operacyjnego routera.

Skutki

Atakujący może wykonać dowolne polecenia systemowe na routerze bez uwierzytelnienia, co może prowadzić do pełnego przejęcia kontroli nad urządzeniem, kradzieży danych konfiguracyjnych, modyfikacji ustawień sieci lub wykorzystania routera jako punktu wejścia do infrastruktury sieciowej.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Zaleca się również ograniczenie dostępu do interfejsu administracyjnego routera wyłącznie do zaufanych adresów IP oraz monitorowanie ruchu sieciowego pod kątem nieautoryzowanych żądań.

Kogo dotyczy

Routery GL.iNET GL-AR300M z oprogramowaniem (firmware) w wersji 4.3.7

Uwagi

Szczegółowy opis podatności wraz z analizą techniczną dostępny jest pod adresem: https://cyberaz0r.info/2023/11/glinet-multiple-vulnerabilities/ — podatność jest częścią zbioru wielu luk odnalezionych w urządzeniach GL.iNET.