El endpoint de bloqueo del control parental (/cgi-bin/luci/blocking?form=vercode) es accesible desde la LAN sin credenciales de administrador. El parámetro url se pasa a un comando de shell a través de fork_exec(string.format("%s %s %s", BINARY, owner_id, url)) después de una comprobación de lista de denegación de caracteres. La lista de denegación no incluye el carácter de nueva línea (0x0a), lo que permite añadir un comando terminado en nueva línea. Los comandos se ejecutan como root.

Un fallo secundario de divulgación de información en el mismo endpoint permite leer el vercode actual sin credenciales, eliminando la única pieza de información que no puede observarse desde la URL de redirección del portal cautivo.

Investigador

[email protected]