CVE-2024-32353

Command injection w TOTOLINK X5000R — podatność RCE przez parametr 'port'

CVSS 9.8v3.1pub. 2024-05-14upd. 2025-04-04

Router TOTOLINK X5000R w wersji firmware V9.1.0cu.2350_B20230313 zawiera podatność typu command injection w funkcji setSSServer, umożliwiającą zdalne wykonanie poleceń bez uwierzytelnienia. Podatność otrzymała ocenę krytyczną CVSS 9.8, co czyni ją poważnym zagrożeniem dla każdej sieci, w której urządzenie jest dostępne z zewnątrz.

▸ Pokaż oryginał (EN)

TOTOLINK X5000R V9.1.0cu.2350_B20230313 was discovered to contain a command injection vulnerability via the 'port' parameter in the setSSServer function at /cgi-bin/cstecgi.cgi.

🤖 Analiza AI

Jak działa

Podatność (CWE-77) polega na braku odpowiedniej walidacji i sanityzacji danych wejściowych przekazywanych przez parametr 'port' do funkcji setSSServer obsługiwanej przez endpoint /cgi-bin/cstecgi.cgi. Atakujący może wstrzyknąć do tego parametru złośliwe polecenia systemowe, które zostaną wykonane bezpośrednio przez system operacyjny urządzenia. Atak nie wymaga żadnego uwierzytelnienia ani interakcji użytkownika i może być przeprowadzony zdalnie przez sieć.

Skutki

Skuteczne wykorzystanie podatności pozwala atakującemu na pełne przejęcie kontroli nad urządzeniem — wykonanie dowolnych poleceń systemowych, odczyt i modyfikację konfiguracji, a także potencjalne wykorzystanie routera jako punktu wejścia do sieci wewnętrznej.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Do czasu aktualizacji firmware zaleca się ograniczenie dostępu do interfejsu zarządzania urządzenia wyłącznie do zaufanych adresów IP oraz zablokowanie dostępu do panelu administracyjnego od strony sieci WAN.

Kogo dotyczy

TOTOLINK X5000R z firmware w wersji V9.1.0cu.2350_B20230313

Uwagi

Publiczny opis techniczny podatności wraz z dowodem koncepcji (proof-of-concept) jest dostępny w repozytorium GitHub pod adresem wskazanym w referencjach.