CVE-2024-23630

Motorola MR2600 – dowolny upload firmware umożliwiający RCE

CVSS 9.0v3.1pub. 2024-01-26upd. 2024-11-21

Podatność w routerze Motorola MR2600 pozwala atakującemu na wgranie dowolnego oprogramowania firmware, co prowadzi do wykonania kodu na urządzeniu. Uwierzytelnienie jest wymagane, ale może zostać pominięte przez atakującego.

▸ Pokaż oryginał (EN)

An arbitrary firmware upload vulnerability exists in the Motorola MR2600. An attacker can exploit this vulnerability to achieve code execution on the device. Authentication is required, however can be bypassed.

🤖 Analiza AI

Jak działa

Luka sklasyfikowana jako CWE-434 (Unrestricted Upload of File with Dangerous Type) polega na braku odpowiedniej weryfikacji przesyłanych plików firmware. Atakujący, znajdując się w tej samej sieci lokalnej, może wgrać spreparowany plik firmware na urządzenie. Mechanizm uwierzytelnienia, który powinien chronić tę operację, może zostać ominięty, co oznacza, że atakujący nie potrzebuje ważnych danych logowania.

Skutki

Pomyślne wykorzystanie podatności pozwala atakującemu na pełne przejęcie kontroli nad urządzeniem poprzez wykonanie dowolnego kodu (RCE) w jego kontekście, co zagraża poufności, integralności i dostępności całego systemu oraz sieci za nim stojącej.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Jako środek zaradczy do czasu aktualizacji zaleca się ograniczenie dostępu do panelu administracyjnego urządzenia wyłącznie do zaufanych hostów oraz izolację urządzenia w sieci.