CVE-2024-36491

Command Injection w urządzeniach FutureNet NXR/VXR/WXR (Century Systems)

CVSS 9.8v3.1pub. 2024-07-17upd. 2025-04-01

Podatność typu command injection w oprogramowaniu routerów FutureNet serii NXR, VXR i WXR firmy Century Systems umożliwia uwierzytelnionemu użytkownikowi administracyjnemu wykonanie dowolnych poleceń systemu operacyjnego. Ocena CVSS 9.8 wskazuje na krytyczny poziom zagrożenia dla poufności, integralności i dostępności urządzenia.

▸ Pokaż oryginał (EN)

FutureNet NXR series, VXR series and WXR series provided by Century Systems Co., Ltd. allow an administrative user to execute an arbitrary OS command, obtain and/or alter sensitive information, and cause a denial-of-service (DoS) condition.

🤖 Analiza AI

Jak działa

Podatność (CWE-78) polega na braku odpowiedniej walidacji lub neutralizacji danych wejściowych przekazywanych do wywołań systemowych w interfejsie administracyjnym urządzenia. Zalogowany użytkownik z uprawnieniami administracyjnymi może skonstruować odpowiednio spreparowane dane wejściowe, które zostaną zinterpretowane jako polecenia systemu operacyjnego i wykonane w kontekście urządzenia. Wektor sieciowy (AV:N) oznacza, że atak może być przeprowadzony zdalnie przez sieć.

Skutki

Atakujący może wykonać dowolne polecenia OS na urządzeniu, uzyskać lub zmodyfikować wrażliwe informacje konfiguracyjne, a także doprowadzić do stanu odmowy usługi (DoS), powodując niedostępność urządzenia sieciowego.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami (https://www.centurysys.co.jp/backnumber/nxr_common/20240716-01.html oraz https://www.centurysys.co.jp/backnumber/nxr_common/20240716-03.html). Dodatkowo zaleca się ograniczenie dostępu do interfejsu administracyjnego wyłącznie do zaufanych adresów IP oraz unikanie wystawiania panelu administracyjnego bezpośrednio na internet.

Kogo dotyczy

Urządzenia FutureNet NXR-1300, NXR-155/C, NXR-610X, NXR-G050, NXR-G060 oraz inne urządzenia serii NXR, VXR i WXR firmy Century Systems Co., Ltd. — dokładne wersje firmware wskazane w referencjach producenta.

Uwagi

Podatność dotyczy wyłącznie użytkownika z uprawnieniami administracyjnymi (mimo wektora CVSS PR:N, opis EN wskazuje na wymóg posiadania konta administratora). Informacja o podatności została opublikowana w japońskiej bazie JVN (JVNVU96424864). Poprawki zostały udostępnione przez producenta w dniu 16 lipca 2024 r.