CVE-2024-34166

Command injection w firmware Wavlink AC3000 — zdalne wykonanie kodu

CVSS 10.0v3.1pub. 2025-01-14upd. 2025-08-21

W oprogramowaniu firmware routera Wavlink AC3000 (model M33A8) wykryto krytyczną podatność typu command injection umożliwiającą zdalne wykonanie dowolnego kodu. Atakujący nieuwierzytelniony sieciowo może przejąć pełną kontrolę nad urządzeniem bez jakiejkolwiek interakcji użytkownika.

▸ Pokaż oryginał (EN)

An os command injection vulnerability exists in the touchlist_sync.cgi touchlistsync() functionality of Wavlink AC3000 M33A8.V5030.210505. A specially crafted set of HTTP requests can lead to arbitrary code execution. An attacker can send an HTTP request to trigger this vulnerability.

🤖 Analiza AI

Jak działa

Podatność występuje w pliku CGI 'touchlist_sync.cgi', konkretnie w funkcji 'touchlistsync()'. Poprzez wysłanie specjalnie spreparowanego żądania HTTP (lub serii takich żądań) atakujący jest w stanie wstrzyknąć złośliwe polecenia systemowe do wywołania obsługiwanego przez tę funkcję. Brak odpowiedniej walidacji i sanityzacji danych wejściowych powoduje, że dostarczone dane są interpretowane i wykonywane bezpośrednio przez system operacyjny urządzenia.

Skutki

Atakujący może uzyskać możliwość zdalnego, nieuwierzytelnionego wykonania dowolnego kodu (RCE) na podatnym urządzeniu, co w praktyce oznacza pełne przejęcie kontroli nad routerem — w tym modyfikację konfiguracji sieci, przechwytywanie ruchu sieciowego oraz wykorzystanie urządzenia jako punktu wejścia do dalszej penetracji sieci.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Zaleca się również ograniczenie dostępu do interfejsu zarządzania urządzenia wyłącznie do zaufanych hostów oraz izolację urządzenia od publicznego Internetu do czasu wdrożenia aktualizacji.

Kogo dotyczy

Wavlink AC3000, model WL-WN533A8, wersja firmware M33A8.V5030.210505

Uwagi

Podatność została zgłoszona i opisana przez Cisco Talos Intelligence (raport TALOS-2024-2000). Wektor ataku jest sieciowy, nie wymaga uwierzytelnienia ani interakcji użytkownika, a zakres oddziaływania wykracza poza podatny komponent (S:C), co skutkuje maksymalnym wynikiem CVSS 10.0.