CVE-2024-22529

Command injection w TOTOLINK X2000R — podatność w obsłudze przesyłania plików

CVSS 9.8v3.1pub. 2024-01-25upd. 2025-06-04

Urządzenie TOTOLINK X2000R_V2 w wersji firmware V2.0.0-B20230727.10434 zawiera podatność typu command injection w komponencie obsługującym przesyłanie plików. Atakujący zdalny, nieuwierzytelniony może wykonać dowolne polecenia systemowe na urządzeniu.

▸ Pokaż oryginał (EN)

TOTOLINK X2000R_V2 V2.0.0-B20230727.10434 has a command injection vulnerability in the sub_449040 (handle function of formUploadFile) of /bin/boa.

🤖 Analiza AI

Jak działa

Podatność znajduje się w funkcji sub_449040, będącej handlerem formUploadFile w procesie serwera WWW /bin/boa. Funkcja ta nie filtruje poprawnie danych wejściowych dostarczanych przez użytkownika podczas przesyłania pliku, co umożliwia wstrzyknięcie arbitralnych poleceń systemowych. Atakujący może spreparować odpowiednie żądanie HTTP i przesłać je do interfejsu zarządzania urządzenia bez konieczności uwierzytelnienia.

Skutki

Skuteczne wykorzystanie podatności umożliwia atakującemu zdalne wykonanie dowolnych poleceń z uprawnieniami procesu serwera WWW, co w praktyce może oznaczać pełne przejęcie kontroli nad urządzeniem, naruszenie poufności, integralności i dostępności systemu.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Do czasu aktualizacji zaleca się ograniczenie dostępu do panelu zarządzania urządzenia wyłącznie do zaufanych sieci lub adresów IP oraz wyłączenie dostępu do interfejsu administracyjnego od strony sieci WAN.