CVE-2025-44872

Command injection w Tenda AC9 via parametr deviceName

CVSS 9.8v3.1pub. 2025-05-02upd. 2025-05-27

Urządzenie Tenda AC9 w wersji firmware V15.03.06.42_multi zawiera podatność typu command injection w funkcji formsetUsbUnload, umożliwiającą zdalne wykonanie dowolnych poleceń. Podatność jest krytyczna, ponieważ nie wymaga uwierzytelnienia ani interakcji użytkownika.

▸ Pokaż oryginał (EN)

Tenda AC9 V15.03.06.42_multi was found to contain a command injection vulnerability in the formsetUsbUnload function via the deviceName parameter. This vulnerability allows attackers to execute arbitrary commands via a crafted request.

🤖 Analiza AI

Jak działa

Podatność znajduje się w funkcji formsetUsbUnload, która przetwarza parametr deviceName bez odpowiedniej walidacji i sanityzacji danych wejściowych. Atakujący może wysłać specjalnie spreparowane żądanie zawierające złośliwy payload w polu deviceName, wstrzykując w ten sposób dowolne polecenia systemowe. Polecenia te są następnie wykonywane przez urządzenie z uprawnieniami procesu obsługującego żądanie.

Skutki

Atakujący zdalny, nieuwierzytelniony może wykonać dowolne polecenia systemowe na podatnym urządzeniu, co prowadzi do pełnego przejęcia kontroli, ujawnienia poufnych danych konfiguracyjnych oraz naruszenia integralności i dostępności urządzenia.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Do czasu wydania aktualizacji zaleca się ograniczenie dostępu do interfejsu administracyjnego urządzenia wyłącznie do zaufanych sieci lokalnych oraz zablokowanie dostępu z Internetu przez firewall.