L'endpoint di blocco del parental control (/cgi-bin/luci/blocking?form=vercode) è raggiungibile dalla LAN senza credenziali di amministrazione. Il parametro url viene passato a un comando shell tramite fork_exec(string.format("%s %s %s", BINARY, owner_id, url)) dopo un controllo su una lista di caratteri consentiti. La lista di blocco non include il carattere di newline (0x0a), consentendo di aggiungere un comando terminato da newline. I comandi vengono eseguiti come root.

Un bug secondario di divulgazione di informazioni sullo stesso endpoint consente di leggere il vercode corrente senza credenziali, eliminando l'unica informazione che non può essere osservata dall'URL di reindirizzamento del captive portal.

Ricercatore

[email protected]