O endpoint de bloqueio do controle parental (/cgi-bin/luci/blocking?form=vercode) é acessível pela LAN sem credenciais de administrador. O parâmetro url é passado para um comando shell via fork_exec(string.format("%s %s %s", BINARY, owner_id, url)) após uma verificação de lista de negação de caracteres. A lista de negação não inclui o caractere de nova linha (0x0a), permitindo que um comando terminado por nova linha seja anexado. Os comandos são executados como root.

Um bug secundário de divulgação de informações no mesmo endpoint permite ler o vercode atual sem credenciais, eliminando a única informação que não pode ser observada na URL de redirecionamento do portal cativo.

Pesquisador

[email protected]