CVE-2025-44877

Command injection w Tenda AC9 — funkcja formSetSambaConf (parametr usbname)

CVSS 9.8v3.1pub. 2025-05-02upd. 2025-05-27

Urządzenie Tenda AC9 w wersji firmware V15.03.06.42_multi zawiera podatność typu command injection w funkcji formSetSambaConf. Atakujący bez uwierzytelnienia może zdalnie wykonać dowolne polecenia systemowe na urządzeniu.

▸ Pokaż oryginał (EN)

Tenda AC9 V15.03.06.42_multi was found to contain a command injection vulnerability in the formSetSambaConf function via the usbname parameter. This vulnerability allows attackers to execute arbitrary commands via a crafted request.

🤖 Analiza AI

Jak działa

Podatność wynika z braku odpowiedniej walidacji i sanityzacji danych wejściowych przekazywanych przez parametr usbname do funkcji formSetSambaConf. Wysyłając spreparowane żądanie sieciowe zawierające złośliwy payload, atakujący może wstrzyknąć i wykonać dowolne polecenia systemowe na poziomie urządzenia. Wektor ataku jest sieciowy, nie wymaga uwierzytelnienia ani interakcji użytkownika, co czyni podatność szczególnie niebezpieczną.

Skutki

Atakujący może uzyskać pełną kontrolę nad urządzeniem poprzez zdalne wykonanie dowolnych poleceń systemowych, co może prowadzić do naruszenia poufności, integralności i dostępności urządzenia oraz sieci, do której jest ono podłączone.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Jako środek tymczasowy zaleca się ograniczenie dostępu do interfejsu zarządzania urządzenia wyłącznie do zaufanych adresów IP oraz izolację urządzenia od publicznej sieci Internet.