CVE-2024-39793

Wavlink AC3000 – configuration injection w parametrze ftp_name (nas.cgi)

CVSS 9.1v3.1pub. 2025-01-14upd. 2025-11-03

Podatność typu external config control (CWE-15) w oprogramowaniu routera Wavlink AC3000 M33A8 pozwala uwierzytelnionemu atakującemu na wstrzyknięcie złośliwej konfiguracji poprzez parametr POST ftp_name w funkcji set_nas() pliku nas.cgi. Skutkuje to obejściem uprawnień z potencjalnym pełnym przejęciem kontroli nad urządzeniem.

▸ Pokaż oryginał (EN)

Multiple external config control vulnerabilities exist in the nas.cgi set_nas() proftpd functionality of Wavlink AC3000 M33A8.V5030.210505. A specially crafted HTTP request can lead to permission bypass. An attacker can make an authenticated HTTP request to trigger these vulnerabilities.A configuration injection vulnerability exists in the `ftp_name` POST parameter.

🤖 Analiza AI

Jak działa

Podatność tkwi w braku odpowiedniej walidacji i sanityzacji wartości parametru ftp_name przekazywanego w żądaniu HTTP POST do endpointu nas.cgi. Atakujący, który posiada dostęp do uwierzytelnionej sesji, może spreparować specjalnie skonstruowane żądanie HTTP, które wstrzykuje arbitralną konfigurację do usługi proftpd działającej na urządzeniu. Mechanizm set_nas() przetwarza dane wejściowe bez odpowiednich kontroli, umożliwiając obejście ograniczeń uprawnień (permission bypass) i manipulację konfiguracją zewnętrzną serwera FTP.

Skutki

Atakujący może obejść mechanizmy uprawnień, modyfikować konfigurację usługi proftpd oraz — zgodnie z wektorem CVSS (S:C, C:H, I:H, A:H) — uzyskać pełną kontrolę nad urządzeniem z możliwością naruszenia poufności, integralności i dostępności systemu, w tym danych przechowywanych w podłączonym zasobie NAS.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. W ramach tymczasowej mitygacji zaleca się ograniczenie dostępu do panelu administracyjnego urządzenia wyłącznie do zaufanych sieci lokalnych oraz wyłączenie funkcjonalności NAS/FTP jeśli nie jest wymagana.

Kogo dotyczy

Urządzenia Wavlink AC3000 (model WL-WN533A8) z wersją oprogramowania M33A8.V5030.210505

Uwagi

Podatność została zgłoszona przez Cisco Talos (raport TALOS-2024-2053). W urządzeniu zidentyfikowano wiele podatności tego samego typu (multiple external config control vulnerabilities) — niniejsza karta opisuje wariant dotyczący parametru ftp_name.