CVE-2024-23628

Command injection w Motorola MR2600 — parametr SaveStaticRouteIPv6Params

CVSS 9.0v3.1pub. 2024-01-26upd. 2024-11-21

W routerze Motorola MR2600 wykryto podatność typu command injection w parametrze 'SaveStaticRouteIPv6Params', umożliwiającą zdalne wykonanie poleceń systemowych. Szczególnie niebezpieczna jest możliwość ominięcia wymaganego uwierzytelnienia, co znacząco obniża próg dla atakującego.

▸ Pokaż oryginał (EN)

A command injection vulnerability exists in the 'SaveStaticRouteIPv6Params' parameter of the Motorola MR2600. A remote attacker can exploit this vulnerability to achieve command execution. Authentication is required, however can be bypassed.

🤖 Analiza AI

Jak działa

Podatność polega na niewystarczającym filtrowaniu danych wejściowych przekazywanych do parametru 'SaveStaticRouteIPv6Params', co pozwala na wstrzyknięcie i wykonanie dowolnych poleceń systemowych. Atakujący działający z segmentu sieci lokalnej (wektor AV:A) może spreparować odpowiednie żądanie zawierające złośliwy payload. Mimo że dostęp wymaga uwierzytelnienia, mechanizm autoryzacji może zostać ominięty, co praktycznie eliminuje tę barierę ochronną.

Skutki

Skuteczne wykorzystanie podatności daje atakującemu pełną kontrolę nad urządzeniem — możliwość wykonania dowolnych poleceń systemowych, co może prowadzić do naruszenia poufności, integralności i dostępności systemu oraz całej sieci za nim stojącej.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Do czasu wdrożenia poprawki zaleca się ograniczenie dostępu do interfejsu zarządzania urządzenia wyłącznie do zaufanych hostów oraz izolację routera od niezaufanych segmentów sieci.