CVE-2024-39761

Command injection w Wavlink AC3000 — zdalne wykonanie kodu bez uwierzytelnienia

CVSS 10.0v3.1pub. 2025-01-14upd. 2025-11-03

W oprogramowaniu routerów Wavlink AC3000 (model WL-WN533A8) istnieje wiele podatności typu command injection w pliku login.cgi, umożliwiających zdalne wykonanie dowolnego kodu bez konieczności uwierzytelnienia. Podatność uzyskała maksymalny wynik CVSS 10.0, co czyni ją ekstremalnie krytyczną.

▸ Pokaż oryginał (EN)

Multiple OS command injection vulnerabilities exist in the login.cgi set_sys_init() functionality of Wavlink AC3000 M33A8.V5030.210505. A specially crafted HTTP request can lead to arbitrary code execution. An attacker can make an unauthenticated HTTP request to trigger these vulnerabilities.A command injection vulnerability exists within the `restart_week_value` POST parameter.

🤖 Analiza AI

Jak działa

Podatność znajduje się w funkcji set_sys_init() pliku login.cgi i jest wyzwalana przez odpowiednio spreparowane żądanie HTTP. Atakujący może przekazać złośliwą wartość w parametrze POST o nazwie `restart_week_value`, która jest następnie przekazywana do interpretera poleceń systemowych bez odpowiedniej walidacji ani sanitizacji (CWE-77). Atak nie wymaga żadnego uwierzytelnienia ani interakcji użytkownika, a jego zasięg wykracza poza kontekst atakowanej aplikacji (Scope: Changed).

Skutki

Atakujący może uzyskać pełną kontrolę nad urządzeniem poprzez zdalne wykonanie dowolnych poleceń systemowych, co prowadzi do całkowitego naruszenia poufności, integralności i dostępności systemu.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Jako tymczasowe obejście zaleca się ograniczenie dostępu do interfejsu administracyjnego urządzenia wyłącznie do zaufanych sieci lokalnych oraz zablokowanie dostępu z internetu za pomocą firewall.

Kogo dotyczy

Wavlink AC3000 M33A8, wersja firmware V5030.210505 (produkty WL-WN533A8 / WL-WN533A8 Firmware)

Uwagi

Podatność została zgłoszona i zbadana przez Cisco Talos Intelligence (raport TALOS-2024-2018). Firmware objęty podatnością pochodzi z daty 2021-05-05 (210505 w numerze wersji), co sugeruje brak aktualizacji urządzenia przez dłuższy czas.