CVE-2024-21797

Command injection w Wavlink AC3000 — wykonanie dowolnych poleceń przez adm.cgi

CVSS 9.1v3.1pub. 2025-01-14upd. 2025-08-21

W oprogramowaniu routera Wavlink AC3000 (model M33A8, firmware V5030.210505) istnieje podatność umożliwiająca wykonanie dowolnych poleceń systemowych. Atakujący z dostępem do uwierzytelnionego konta może wysłać specjalnie spreparowane żądanie HTTP, by przejąć kontrolę nad urządzeniem.

▸ Pokaż oryginał (EN)

A command execution vulnerability exists in the adm.cgi set_TR069() functionality of Wavlink AC3000 M33A8.V5030.210505. A specially crafted HTTP request can lead to arbitrary command execution. An attacker can make an authenticated HTTP request to trigger this vulnerability.

🤖 Analiza AI

Jak działa

Podatność dotyczy funkcji set_TR069() w pliku adm.cgi obsługującym panel administracyjny urządzenia. Przesłanie odpowiednio spreparowanego żądania HTTP do tego endpointu powoduje wykonanie niezweryfikowanych poleceń na poziomie systemu operacyjnego urządzenia (command injection, CWE-74). Do wykorzystania podatności wymagane jest uwierzytelnienie, jednak po jego uzyskaniu atakujący może wstrzyknąć i wykonać dowolny kod bez dalszych ograniczeń. Podatność ma zasięg wykraczający poza kontekst aplikacji (Scope: Changed), co oznacza możliwość wpływu na zasoby poza samą aplikacją webową.

Skutki

Skuteczne wykorzystanie podatności pozwala atakującemu na pełne przejęcie kontroli nad urządzeniem, w tym odczyt i modyfikację danych konfiguracyjnych, trwałe naruszenie dostępności usług sieciowych oraz potencjalne wykorzystanie routera jako punktu wejścia do sieci lokalnej.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Dodatkowo zaleca się ograniczenie dostępu do panelu administracyjnego urządzenia wyłącznie do zaufanych adresów IP oraz unikanie eksponowania interfejsu zarządzania bezpośrednio w Internecie.

Kogo dotyczy

Wavlink AC3000 M33A8, firmware w wersji V5030.210505 (produkty: Wavlink WL-WN533A8 / WL-WN533A8 Firmware)

Uwagi

Podatność została zgłoszona przez Cisco Talos (raport TALOS-2024-2028). Pomimo oceny CVSS 9.1 (CRITICAL), do wykorzystania wymagane jest wcześniejsze uwierzytelnienie (PR:H), co nieznacznie ogranicza powierzchnię ataku w porównaniu do podatności niewymagających logowania.