CVE-2024-39759

Command injection w Wavlink AC3000 — zdalne wykonanie kodu bez uwierzytelnienia

CVSS 10.0v3.1pub. 2025-01-14upd. 2025-11-03

W oprogramowaniu routera Wavlink AC3000 (model WL-WN533A8) istnieje krytyczna podatność typu command injection w pliku login.cgi, umożliwiająca zdalne wykonanie dowolnego kodu. Atakujący nie musi posiadać żadnego uwierzytelnienia, co czyni tę podatność wyjątkowo niebezpieczną.

▸ Pokaż oryginał (EN)

Multiple OS command injection vulnerabilities exist in the login.cgi set_sys_init() functionality of Wavlink AC3000 M33A8.V5030.210505. A specially crafted HTTP request can lead to arbitrary code execution. An attacker can make an unauthenticated HTTP request to trigger these vulnerabilities.A command injection vulnerability exists within the `restart_hour_value` POST parameter.

🤖 Analiza AI

Jak działa

Podatność znajduje się w funkcji set_sys_init() obsługiwanej przez skrypt login.cgi. Atakujący wysyła specjalnie spreparowane żądanie HTTP POST zawierające złośliwą wartość w parametrze `restart_hour_value`. Parametr ten nie jest odpowiednio walidowany ani filtrowany przed przekazaniem do wywołania systemowego, co pozwala na wstrzyknięcie i wykonanie dowolnych poleceń systemu operacyjnego na urządzeniu. Atak jest możliwy bez wcześniejszego zalogowania się do urządzenia.

Skutki

Atakujący może przejąć pełną kontrolę nad urządzeniem, wykonując dowolne polecenia z jego poziomu, co obejmuje możliwość odczytu i modyfikacji konfiguracji, podsłuchiwania ruchu sieciowego, a także wykorzystania urządzenia jako punktu wejścia do sieci wewnętrznej.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Do czasu aktualizacji zaleca się ograniczenie dostępu do interfejsu administracyjnego urządzenia wyłącznie z zaufanych adresów IP oraz unikanie bezpośredniego wystawienia urządzenia na dostęp z Internetu.

Kogo dotyczy

Wavlink AC3000 WL-WN533A8 z oprogramowaniem firmware w wersji M33A8.V5030.210505

Uwagi

Podatność została opublikowana przez Cisco Talos Intelligence w raporcie TALOS-2024-2018. W opisie wskazano, że w tej samej funkcji set_sys_init() istnieje wiele podatności typu command injection (podatność na parametr `restart_hour_value` jest jedną z nich).