CVE-2025-70327

TOTOLINK X5000R — argument injection w setDiagnosisCfg prowadzący do DoS

CVSS 9.8v3.1pub. 2026-02-23upd. 2026-02-26

Urządzenie TOTOLINK X5000R w oprogramowaniu v9.1.0cu_2415_B20250515 zawiera podatność typu argument injection w obsłudze żądań setDiagnosisCfg. Umożliwia ona zdalnie uwierzytelnionym atakującym wstrzyknięcie dowolnych opcji wiersza poleceń do narzędzia ping, co może prowadzić do odmowy usługi (DoS).

▸ Pokaż oryginał (EN)

TOTOLINK X5000R v9.1.0cu_2415_B20250515 contains an argument injection vulnerability in the setDiagnosisCfg handler of the /usr/sbin/lighttpd executable. The ip parameter is retrieved via websGetVar and passed to a ping command through CsteSystem without validating if the input starts with a hyphen (-). This allows remote authenticated attackers to inject arbitrary command-line options into the ping utility, potentially leading to a Denial of Service (DoS) by causing excessive resource consumption or prolonged execution.

🤖 Analiza AI

Jak działa

Parametr 'ip' jest pobierany przez funkcję websGetVar i przekazywany bezpośrednio do polecenia ping za pośrednictwem funkcji CsteSystem bez weryfikacji, czy dane wejściowe nie zaczynają się od myślnika (-). Brak tej walidacji (CWE-88) pozwala atakującemu na przekazanie dowolnych opcji wiersza poleceń do narzędzia ping. Skutkuje to nadmiernym zużyciem zasobów systemowych lub przedłużonym wykonywaniem polecenia (CWE-400), co prowadzi do niedostępności urządzenia.

Skutki

Zdalnie uwierzytelniony atakujący może doprowadzić do odmowy usługi (DoS) poprzez nadmierne zużycie zasobów systemowych lub wymuszenie długotrwałego wykonywania procesów na urządzeniu. W efekcie urządzenie może stać się niedostępne dla uprawnionych użytkowników.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Do czasu wydania aktualizacji zaleca się ograniczenie dostępu do interfejsu zarządzania urządzenia wyłącznie do zaufanych hostów oraz stosowanie silnych, unikalnych haseł administracyjnych.