Chèn lệnh hệ điều hành trong router TP-Link

Lỗ hổng Neutralization không phù hợp đối với các phần tử đặc biệt được sử dụng trong một lệnh hệ điều hành ('OS Command Injection') trong TP-Link TP-Link EX20v AX1800, Tp-Link Archer C5v AC1200, Tp-Link TD-W9970, Tp-Link TD-W9970v3, TP-Link VX220-G2u và TP-Link VN020-G2u cho phép chèn lệnh hệ điều hành có xác thực. Vấn đề này ảnh hưởng đến TP-Link EX20v AX1800, Tp-Link Archer C5v AC1200, Tp-Link TD-W9970 và Tp-Link TD-W9970v3: đến hết 20240328. Ngoài ra, lỗ hổng tiếp tục tồn tại trong các model TP-Link VX220-G2u và TP-Link VN020-G2u do các sản phẩm này không còn được sản xuất và hỗ trợ.

• TP-Link EX20v AX1800, Archer C5v AC1200, TD-W9970 và TD-W9970v3: được ghi nhận bị ảnh hưởng qua phiên bản hoặc mốc tùy biến 20240328, với phạm vi từ 0 đến 20240328 theo dữ liệu affected của CNA. Bản ghi mô tả phạm vi là “through 20240328”.
• TP-Link VX220-G2u và VN020-G2u: lỗ hổng tiếp tục tồn tại do các sản phẩm không còn được sản xuất và hỗ trợ.
• Bản ghi không cung cấp số hiệu firmware đã sửa, không xác nhận một bản phát hành cố định cụ thể và không chứng minh rằng các nhánh phiên bản khác ngoài phạm vi nêu trên là không bị ảnh hưởng.

Lỗ hổng thuộc nhóm CWE-78, xảy ra khi các phần tử đặc biệt trong dữ liệu được đưa vào lệnh hệ điều hành không được trung hòa đúng cách. Mô tả của CNA xác nhận các mẫu TP-Link EX20v AX1800, Archer C5v AC1200, TD-W9970, TD-W9970v3, VX220-G2u và VN020-G2u có chức năng cho phép chèn lệnh OS. Phần mô tả gọi đây là lỗi yêu cầu xác thực, nhưng vector đánh giá đi kèm mô hình hóa yêu cầu đặc quyền là không cần thiết; vì vậy điều kiện xác thực thực tế vẫn chưa được giải quyết chắc chắn từ bằng chứng hiện có. Bằng chứng công khai không xác định endpoint, tham số, thành phần xử lý lệnh hoặc cú pháp khai thác cụ thể, nên không nên suy luận thêm về đường đi kỹ thuật.

Lỗ hổng được mô hình hóa là có thể truy cập qua mạng, độ phức tạp thấp và không cần tương tác người dùng. Tuy nhiên, có mâu thuẫn giữa mô tả CNA, trong đó nêu rằng việc chèn lệnh yêu cầu xác thực, và vector đánh giá, trong đó mô hình hóa không yêu cầu đặc quyền; cần xác minh điều kiện này trong từng triển khai. Bản ghi làm giàu của CISA ghi nhận trạng thái khai thác là chưa có tại thời điểm đánh giá đó, nhưng thông tin này không chứng minh rằng hiện không có khai thác hoặc khai thác sẽ không xuất hiện sau đó. Không có chi tiết công khai đủ để xác nhận exploit công khai, chiến dịch, nạn nhân hoặc chỉ dấu xâm nhập cụ thể.

Lỗi có thể cho phép thực thi lệnh hệ điều hành trên thiết bị TP-Link bị ảnh hưởng. Nếu đạt được khả năng này, kẻ tấn công có thể thay đổi trạng thái hoặc cấu hình thiết bị, truy cập dữ liệu mà thiết bị xử lý và gây gián đoạn hoạt động mạng. Tác động được mô hình hóa trong bản ghi bao gồm ảnh hưởng cao đến tính bí mật, toàn vẹn và khả dụng, nhưng phạm vi thực tế phụ thuộc vào quyền của tiến trình dễ bị lỗi và vị trí của thiết bị trong mạng. Bản ghi không xác nhận việc vượt qua ranh giới đặc quyền hoặc lan rộng sang hệ thống khác. Điều kiện xác thực vẫn chưa rõ do mô tả CNA và vector đánh giá không thống nhất.

• Kẻ tấn công có thể đạt khả năng thực thi lệnh trên thiết bị nếu tiếp cận được chức năng dễ bị lỗi và đáp ứng điều kiện truy cập thực tế.
• Việc thực thi lệnh có thể dẫn đến thay đổi cấu hình, làm gián đoạn dịch vụ mạng hoặc ảnh hưởng đến dữ liệu và thông tin được xử lý trên thiết bị.
• Thiết bị mạng bị kiểm soát có thể trở thành điểm trung gian để tiếp tục tác động đến các hệ thống trong cùng môi trường, nhưng bản ghi không xác nhận một kịch bản xâm nhập cụ thể.
• VX220-G2u và VN020-G2u được mô tả là không còn được sản xuất và hỗ trợ, làm giảm khả năng nhận bản sửa lỗi hoặc hỗ trợ khắc phục chính thức.

1. Ưu tiên thay thế hoặc cô lập TP-Link VX220-G2u và VN020-G2u vì bản ghi cho biết các model này không còn được sản xuất và hỗ trợ, đồng thời lỗ hổng tiếp tục tồn tại.
2. Với EX20v AX1800, Archer C5v AC1200, TD-W9970 và TD-W9970v3, xác minh firmware đang chạy với dữ liệu hỗ trợ chính thức của TP-Link và áp dụng bản cập nhật phù hợp nếu nhà cung cấp còn phát hành cho đúng model và nhánh thiết bị. Bản ghi này không nêu release sửa lỗi cụ thể.
3. Nếu chưa thể thay thế hoặc cập nhật, giảm khả năng tiếp cận giao diện quản trị từ mạng không tin cậy, giới hạn quyền quản trị và theo dõi các lần đăng nhập hoặc thay đổi cấu hình bất thường. Đây là biện pháp giảm thiểu chung, không phải hướng dẫn khắc phục được nhà cung cấp xác nhận.
4. Sau khi cập nhật hoặc thay thế, kiểm tra lại model, firmware, cấu hình quản trị và các thiết bị ngang hàng để bảo đảm không còn thiết bị thuộc phạm vi ảnh hưởng.

1. Kiểm kê các thiết bị TP-Link đang vận hành và xác định chính xác model, firmware hoặc nhánh phiên bản của EX20v AX1800, Archer C5v AC1200, TD-W9970, TD-W9970v3, VX220-G2u và VN020-G2u.
2. Đối chiếu trạng thái hỗ trợ của từng thiết bị, đặc biệt với VX220-G2u và VN020-G2u, vì bản ghi cho biết các model này không còn được sản xuất và hỗ trợ.
3. Rà soát log quản trị, xác thực và truy cập mạng của thiết bị để tìm các phiên quản trị bất thường, thay đổi cấu hình ngoài kế hoạch hoặc hoạt động phát sinh từ giao diện quản trị. Đây là biện pháp giám sát phòng ngừa, không phải chỉ dấu được xác nhận riêng cho lỗ hổng này.
4. Không coi việc không thấy sự kiện đáng ngờ trong log là bằng chứng thiết bị an toàn, vì bản ghi không cung cấp tên endpoint, mẫu log hoặc IOC cụ thể.