Un ricercatore di sicurezza di Netsecfish ha scoperto una vulnerabilità critica di command injection (CVE-2024-12987) che interessa l’interfaccia di gestione web dei dispositivi gateway DrayTek. Questa vulnerabilità coinvolge oltre 66.000 dispositivi connessi a Internet e consente ad attaccanti remoti di eseguire comandi arbitrari. La falla risiede nell’endpoint /cgi-bin/mainfunction.cgi/apmcfgupload, dove una sanitizzazione impropria del parametro session consente attacchi di command injection.
| Prodotto | DrayTek Vigor |
| Data | 2025-01-10 15:58:02 |
| Informazioni | Trending, Fix Available |
Riassunto tecnico
Una vulnerabilità di command injection è presente nei dispositivi DrayTek Vigor2960 e Vigor300B che eseguono la versione software 1.5.1.4. La vulnerabilità si verifica a causa di una sanitizzazione impropria dell’input del parametro ‘session’ nell’interfaccia di gestione web, all’interno dell’endpoint /cgi-bin/mainfunction.cgi/apmcfgupload.
La vulnerabilità può essere sfruttata inviando una richiesta HTTP appositamente realizzata con un parametro session formattato in modo malevolo. Il payload iniettato segue il formato: xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx0\xb4%52$c%52$c<INJECTED_COMMAND>. Per una riuscita dell’exploit è necessario utilizzare il protocollo HTTP/1.0.
Prodotti interessati:
- DrayTek Vigor2960 (Version 1.5.1.4)
- DrayTek Vigor300B (Version 1.5.1.4)
Impatto:
Il successo dello sfruttamento potrebbe consentire agli attaccanti di:
- Eseguire comandi di sistema arbitrari da remoto
- Manipolare le configurazioni del dispositivo
- Estrarre informazioni sensibili
- Potenzialmente compromettere reti interne
Dettagli tecnici:
- Punto di ingresso:
/cgi-bin/mainfunction.cgi/apmcfgupload - Parametro vulnerabile:
session - Protocollo richiesto: HTTP/1.0
- Formato del payload:
xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx0\xb4%52$c%52$c<INJECTED_COMMAND>
Raccomandazioni
Gli amministratori dovrebbero:
- Applicare la validazione dell’input a tutti i parametri degli script CGI
- Limitare l’accesso all’interfaccia di gestione web
- Monitorare e applicare gli aggiornamenti firmware quando disponibili
- Implementare una whitelist IP per l’accesso alla gestione