CVE-2025-25675

Command injection w Tenda AC10 — zdalne wykonanie kodu przez formexeCommand

CVSS 9.8v3.1pub. 2025-02-20upd. 2025-03-17

Oprogramowanie routera Tenda AC10 V1.0 V15.03.06.23 zawiera podatność typu command injection w funkcji formexeCommand, umożliwiającą atakującemu zdalne wykonanie dowolnych poleceń systemowych bez uwierzytelnienia. Krytyczny poziom zagrożenia wynika z braku jakichkolwiek wymagań wstępnych po stronie atakującego.

▸ Pokaż oryginał (EN)

Tenda AC10 V1.0 V15.03.06.23 has a command injection vulnerablility located in the formexeCommand function. The str variable receives the cmdinput parameter from a POST request and is later assigned to the cmd_buf variable, which is directly used in the doSystemCmd function, causing an arbitrary command execution.

🤖 Analiza AI

Jak działa

Funkcja formexeCommand pobiera parametr cmdinput z żądania HTTP POST i przypisuje go do zmiennej str, która następnie trafia do zmiennej cmd_buf. Zmienna cmd_buf jest przekazywana bezpośrednio do funkcji doSystemCmd bez jakiejkolwiek walidacji ani sanityzacji danych wejściowych. Pozwala to atakującemu na wstrzyknięcie dowolnych poleceń systemowych, które zostaną wykonane z uprawnieniami procesu obsługującego żądanie.

Skutki

Atakujący bez uwierzytelnienia, zdalnie przez sieć, może wykonać dowolne polecenia w systemie operacyjnym urządzenia, co może skutkować pełnym przejęciem kontroli nad routerem, naruszeniem poufności i integralności danych oraz zakłóceniem jego działania.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Do czasu wydania aktualizacji zaleca się ograniczenie dostępu do interfejsu administracyjnego routera wyłącznie do zaufanych adresów IP oraz izolację urządzenia za pomocą firewall.