В различных моделях маршрутизаторов Linksys серии E существует уязвимость, связанная с внедрением команд ОС, через конечные точки /tmUnblock.cgi и /hndUnblock.cgi через HTTP на порту 8080. Сценарии CGI неправильно обрабатывают вводимые пользователем данные, передаваемые в параметр ttcp_ip, без очистки, что позволяет неаутентифицированным злоумышленникам внедрять команды оболочки. Сообщалось, что в 2014 году эту уязвимость использовал червь TheMoon для развертывания полезной нагрузки MIPS ELF, позволяющей выполнять произвольный код на маршрутизаторе.
Кроме того, эта уязвимость может затронуть другие продукты Linksys, включая, помимо прочего, модели маршрутизаторов серии WAG/WAP/WES/WET/WRT, а также точки доступа и маршрутизаторы Wireless-N. Доказательства эксплуатации были обнаружены Shadowserver Foundation 06 февраля 2025 г. по всемирному координированному времени.
Показать оригинальное описание (EN)
An OS command injection vulnerability exists in various models of E-Series Linksys routers via the /tmUnblock.cgi and /hndUnblock.cgi endpoints over HTTP on port 8080. The CGI scripts improperly process user-supplied input passed to the ttcp_ip parameter without sanitization, allowing unauthenticated attackers to inject shell commands. This vulnerability was reported to be exploited in the wild by the "TheMoon" worm in 2014 to deploy a MIPS ELF payload, enabling arbitrary code execution on the router. Additionally, this vulnerability may affect other Linksys products to include, but not limited to, WAG/WAP/WES/WET/WRT-series router models and Wireless-N access points and routers. Exploitation evidence was observed by the Shadowserver Foundation on 2025-02-06 UTC.
Характеристики атаки
Последствия
Строка CVSS v4.0