Résumé

Le point de terminaison de blocage du contrôle parental (/cgi-bin/luci/blocking?form=vercode) est accessible depuis le LAN sans identifiants administrateur. Le paramètre url est transmis à une commande shell via fork_exec(string.format("%s %s %s", BINARY, owner_id, url)) après un contrôle par liste de caractères interdits. La liste de caractères interdits n'inclut pas le caractère de saut de ligne (0x0a), ce qui permet d'ajouter une commande terminée par un saut de ligne. Les commandes s'exécutent en tant que root.

Un second problème de divulgation d'informations sur le même point de terminaison permet de lire le vercode courant sans identifiants, éliminant ainsi la seule information qui ne peut pas être observée depuis l'URL de redirection du portail captif.

Chercheur

[email protected]