CVE-2024-28012

Mechanizm uwierzytelnienia w oprogramowaniu układowym urządzeń NEC Aterm zawiera błąd implementacyjny klasy improper authentication, który pozwala pominąć weryfikację tożsamości bez podania jakichkolwiek poświadczeń. Atakujący może poprzez sieć internet (bez dostępu lokalnego, bez interakcji użytkownika i bez posiadania konta) wysłać odpowiednio spreparowane żądanie do urządzenia i uzyskać możliwość wykonania dowolnych poleceń systemowych. Polecenia są wykonywane w kontekście konta root, czyli z najwyższymi uprawnieniami w systemie.

Atakujący uzyskuje pełną kontrolę nad urządzeniem z uprawnieniami root, co umożliwia m.in. modyfikację konfiguracji sieciowej, przechwytywanie ruchu, instalację złośliwego oprogramowania lub wykorzystanie urządzenia jako punktu wejścia do sieci wewnętrznej.

Należy zastosować patche dostępne u producenta zgodnie z referencjami (https://jpn.nec.com/security-info/secinfo/nv24-001_en.html). Do czasu aktualizacji zaleca się ograniczenie dostępu do panelu zarządzania urządzenia wyłącznie z zaufanych adresów IP oraz wyłączenie zdalnego zarządzania przez internet, jeśli nie jest ono niezbędne.

Wszystkie wersje oprogramowania układowego następujących urządzeń NEC Aterm: WG1800HP4, WG1200HS3, WG1900HP2, WG1200HP3, WG1800HP3, WG1200HS2, WG1900HP, WG1200HP2, W1200EX(-MS), WG1200HS, WG1200HP, WF300HP2, W300P, WF800HP, WR8165N, WG2200HP, WF1200HP2, WG1800HP2, WF1200HP, WG600HP, WG300HP, WF300HP, WG1800HP, WG1400HP, WR8175N, WR9300N, WR8750N, WR8160N, WR9500N, WR8600N, WR8370N, WR8170N, WR8700N, WR8300N, WR8150N, WR4100N, WR4500N, WR8100N, WR8500N, CR2500P, WR8400N, WR8200N, WR1200H, WR7870S, WR6670S, WR7850S, WR6650S, WR6600H, WR7800H, WM3400RN, WM3450RN, WM3500R, WM3600R, WM3800R, WR8166N, MR01LN, MR02LN, WG1810HP(JE) oraz WG1810HP(MF).