CVE-2026-26792

Command injection w GL-iNet GL-AR300M16 — funkcja set_upgrade

CVSS 9.8v3.1pub. 2026-03-12upd. 2026-03-16

W oprogramowaniu routera GL-iNet GL-AR300M16 w wersji v4.3.11 odkryto wiele podatności typu command injection w funkcji set_upgrade. Pozwalają one nieuwierzytelnionemu atakującemu na zdalne wykonanie dowolnych poleceń systemowych na urządzeniu.

▸ Pokaż oryginał (EN)

GL-iNet GL-AR300M16 v4.3.11 was discovered to contain multiple command injection vulnerabilities in the set_upgrade function via the modem_url, target_version, current_version, firmware_upload, hash_type, hash_value, and upgrade_type parameters. These vulnerabilities allow attackers to execute arbitrary commands via a crafted input.

🤖 Analiza AI

Jak działa

Podatności występują w funkcji set_upgrade, która przetwarza parametry wejściowe: modem_url, target_version, current_version, firmware_upload, hash_type, hash_value oraz upgrade_type. Dane przekazywane przez te parametry nie są odpowiednio walidowane ani sanityzowane przed użyciem w poleceniach systemowych. Atakujący może spreparować złośliwe wartości parametrów zawierające dodatkowe polecenia systemowe, które zostaną wykonane przez urządzenie z uprawnieniami procesu obsługującego żądanie.

Skutki

Atakujący może zdalnie wykonać dowolne polecenia systemowe na urządzeniu (RCE), co prowadzi do pełnego przejęcia kontroli nad routerem, naruszenia poufności i integralności danych oraz potencjalnego zakłócenia dostępności usług sieciowych.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Do czasu aktualizacji zaleca się ograniczenie dostępu do panelu administracyjnego urządzenia wyłącznie do zaufanych sieci lokalnych oraz wyłączenie zdalnego zarządzania przez internet.

Kogo dotyczy

GL-iNet GL-AR300M16 Firmware w wersji v4.3.11

Uwagi

Szczegółowy dowód podatności (proof of concept) został opublikowany w repozytorium GitHub pod adresem wskazanym w referencjach, co zwiększa ryzyko wykorzystania podatności.