CVE-2022-45600

CVE URL:	https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-45600
報告者:	TanYeeTat
製品:	Aztech WMB250AC Wireless Mesh Routers
影響を受けるファームウェア:	2020 Release (`topaz-linux.lzma.img`)
ファームウェアダウンロード:	クローズドソース

aztech-wmb250ac

product-aztech-kylaconnect-site

製品マニュアル: https://kylaconnect.com/download-center/

脆弱性は 2022年6月7日に [email protected] 宛てに Aztech のセキュリティチームへ報告されましたが、2023年2月21日時点で返信はありません。

Kylaconnect 脆弱性開示ポリシー

脆弱性の詳細

以下の複数の Web ページに、Web 認証済みユーザーがデバイス上で root ユーザーとして任意のシェルコマンドを実行できるようにするコマンドインジェクションの脆弱性（権限昇格につながる）が存在します。root ユーザーアカウントは Telnet などの従来の方法ではアクセスできず、ファームウェアの設定によりロックダウンされています。この脆弱性はその設定をバイパスし、攻撃者の権限を root に昇格させます。

影響を受ける Web ページ一覧

status_wireless.php の 283 行目
config_wps.php の 54 行目
assoc_table.php の 81 行目
config_macfilter.php の 55 行目
config_wps.php の 54 行目

上記の Web ページでは、GET パラメータ id の処理において入力検証とサニタイズが不足しており、このパラメータが root ユーザーとして実行されるシェルコマンドに渡されます。コマンドインジェクションは、先行する正当なシェルコマンドをセミコロン ; で終了し、続けて任意のシェルコマンドを注入することによって行われます。

retrieving-id-param

GET パラメータ id を取得するコードスニペット

id の値は interface_id 変数に格納される

all-exec-calls-with-id

PHP コードのさらに下の方で、interface_id は検証やサニタイズなしに複数の exec() 呼び出しに渡される

概念実証

以下の手順でこの脆弱性を再現できます。

製品を物理的に起動するか、エミュレートする
PoC bash スクリプトの認証情報を変更して Web サービスにログインする
PoC bash スクリプトを実行し、デバイス上で root シェルを取得する

CVE-2022-45600

人気

CVE-2022-45600

脆弱性の詳細

概念実証