CVE-2025-45490

Command injection w Linksys E5600 via parametr password funkcji DynDNS

CVSS 9.8v3.1pub. 2025-05-06upd. 2025-05-13

W routerze Linksys E5600 w wersji firmware v1.1.0.26 odkryto podatność typu command injection w funkcji DynDNS (runtime.ddnsStatus) poprzez parametr password. Podatność otrzymała ocenę CVSS 9.8 (CRITICAL), co oznacza możliwość zdalnego przejęcia kontroli nad urządzeniem bez jakiegokolwiek uwierzytelnienia.

▸ Pokaż oryginał (EN)

Linksys E5600 v1.1.0.26 was discovered to contain a command injection vulnerability in the runtime.ddnsStatus DynDNS function via the password parameter.

🤖 Analiza AI

Jak działa

Atakujący przesyła specjalnie spreparowane żądanie zawierające złośliwe polecenia systemowe osadzone w parametrze password obsługiwanym przez funkcję runtime.ddnsStatus odpowiedzialną za obsługę Dynamic DNS. Urządzenie nie filtruje prawidłowo danych wejściowych przekazywanych do interpretera powłoki systemowej, co pozwala na wstrzyknięcie i wykonanie dowolnych poleceń w kontekście systemu operacyjnego routera. Podatność jest dostępna zdalnie, nie wymaga uwierzytelnienia ani interakcji użytkownika, a wektor ataku jest sieciowy (AV:N/AC:L/PR:N/UI:N).

Skutki

Atakujący może uzyskać pełną kontrolę nad urządzeniem — odczytać poufne dane konfiguracyjne, modyfikować ustawienia sieciowe, a także wykorzystać router jako punkt wejścia do dalszych ataków na sieć wewnętrzną (lateral movement).

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Do czasu uzyskania aktualizacji zaleca się ograniczenie dostępu do interfejsu administracyjnego routera wyłącznie do zaufanych hostów oraz wyłączenie funkcji Dynamic DNS (DynDNS), jeśli nie jest aktywnie używana.

Kogo dotyczy

Linksys E5600 z firmware w wersji v1.1.0.26

Uwagi

W referencjach opublikowany został publiczny proof-of-concept w postaci skryptu Python oraz dokumentacji PDF (autor: JZP018 na GitHub), co istotnie obniża próg wejścia dla potencjalnych atakujących.