CVE-2022-45600

Руководство по продукту: https://kylaconnect.com/download-center/

Уязвимость была сообщена команде безопасности Aztech через [email protected] 7 июня 2022 года, и по состоянию на 21 февраля 2023 года ответа не получено

• Политика раскрытия уязвимостей Kylaconnect

Детали уязвимости

Уязвимость внедрения команд (Command Injection), приводящая к повышению привилегий, присутствует на нескольких веб-страницах (список ниже) и позволяет прошедшему веб-аутентификацию пользователю выполнять произвольные shell-команды на устройстве от имени пользователя root. Учётная запись пользователя root недоступна никакими другими стандартными методами (например, Telnet) и заблокирована конфигурацией прошивки. Данная уязвимость обходит эту конфигурацию и повышает привилегии атакующего до root.

Список затронутых веб-страниц

• Строка 283 в status_wireless.php
• Строка 54 в config_wps.php
• Строка 81 в assoc_table.php
• Строка 55 в config_macfilter.php
• Строка 54 в config_wps.php

В указанных выше веб-страницах отсутствует проверка и очистка входных данных при обработке GET-параметра id, который передаётся в shell-команду, выполняемую от имени пользователя root. Внедрение команд выполняется путём завершения предшествующей легитимной shell-команды точкой с запятой ; с последующей произвольной shell-командой для внедрения.

Фрагмент получения GET-параметра id

• значение id сохраняется в переменную interface_id

Далее в PHP-коде interface_id передаётся в несколько вызовов exec() без проверки и очистки

Подтверждение концепции

Следующие шаги описывают, как воспроизвести эту уязвимость

1. Запустите продукт физически или в эмуляции
2. Измените учётные данные в PoC bash-скрипте для аутентификации в веб-сервисе
3. Выполните PoC bash-скрипт, чтобы получить root-шелл на устройстве