Chèn lệnh OS trong giao diện quản trị web TP-Link Archer C20 v6

Một lỗ hổng chèn lệnh hệ điều hành tồn tại trong giao diện quản trị web của firmware Archer C20 v6 khi xử lý một số thao tác cấu hình liên quan đến WAN. Quản trị viên đã xác thực có thể lợi dụng việc kiểm tra đầu vào không đầy đủ để thực thi các lệnh hệ thống tùy ý, có khả năng dẫn đến việc thiết bị bị xâm phạm hoàn toàn. Việc khai thác thành công có thể cho phép thực thi lệnh tùy ý với quyền nâng cao, làm ảnh hưởng đến tính bí mật, toàn vẹn và khả dụng của thiết bị bị ảnh hưởng cũng như lưu lượng mạng đi qua thiết bị đó.

TP-Link xác định các nhánh sau của Archer C20 hardware V6 là bị ảnh hưởng:

• Archer C20 (EU): firmware < EU_0.9.1 Build 260811.
• Archer C20 (US): firmware < US_0.9.1 Build 260812.
• Archer C20 (RU): firmware < RU_0.9.1 Build 260812.

Bản ghi chuẩn hóa đặt trạng thái mặc định là unaffected, nhưng việc đánh giá phải dựa trên đúng hardware version, khu vực và firmware build. Trang tải firmware của TP-Link liệt kê bản EU Archer C20(EU)_V6_0.9.1 Build 260811 và bản US Archer C20(CPI)_V6.46_0.9.1 Build 260812 với mô tả cải thiện bảo mật. Bằng chứng hiện có không cung cấp một trang tải firmware RU riêng để xác nhận thêm ngoài ranh giới RU nêu trên.

Đây là lỗi CWE-78, OS command injection trong web management interface của firmware Archer C20 v6. Khi xử lý một số thao tác cấu hình WAN, dữ liệu do quản trị viên kiểm soát không được kiểm tra hoặc vô hiệu hóa đầy đủ trước khi đi vào logic thực thi lệnh hệ thống. Bằng chứng hiện có không nêu tham số, endpoint, shell hoặc hàm cụ thể, vì vậy cú pháp khai thác và cách lệnh được tạo ra vẫn chưa rõ. Điều kiện khai thác gồm quyền quản trị đã xác thực và khả năng truy cập từ mạng lân cận; không cần tương tác của người dùng khác và độ phức tạp được đánh giá là thấp. Nếu khai thác thành công, kẻ tấn công có thể thực thi lệnh tùy ý với quyền nâng cao trên router. Phạm vi firmware và các nhánh khu vực bị ảnh hưởng được nêu riêng trong affected_summary.

• Điều kiện mạng: cần truy cập từ mạng lân cận tới giao diện quản trị web.
• Xác thực: cần tài khoản quản trị đã xác thực, tương ứng với quyền cao.
• Tương tác và độ phức tạp: không cần người dùng khác tương tác; bản ghi mô tả độ phức tạp khai thác là thấp.
• Trạng thái công khai: bản ghi cung cấp public_exploit: false và không có cờ khai thác đã biết. Đây không phải là bằng chứng khẳng định rằng lỗ hổng chưa từng bị khai thác.
• Không có exploit cụ thể, chiến dịch, nạn nhân hoặc chỉ dấu xâm nhập nào được xác định trong bằng chứng hiện có.

Khai thác thành công có thể cho phép thực thi lệnh tùy ý với quyền nâng cao trên Archer C20 v6. Hậu quả kỹ thuật gồm mất tính bí mật, toàn vẹn và khả dụng của thiết bị, đồng thời có thể ảnh hưởng đến lưu lượng mạng đi qua router. Vì router có thể là điểm kiểm soát lưu lượng, việc chiếm quyền có khả năng gây gián đoạn hoặc thay đổi hành vi mạng, nhưng bằng chứng hiện có không xác nhận ảnh hưởng đến các thiết bị khác. Lỗ hổng yêu cầu quyền quản trị đã xác thực và truy cập từ mạng lân cận, nên không được mô tả là truy cập từ Internet không cần xác thực. Không có bằng chứng cụ thể về một vụ xâm nhập hoặc rò rỉ dữ liệu đã xảy ra.

• Router bị xâm phạm có thể bị thay đổi cấu hình, mất khả năng cung cấp dịch vụ hoặc bị sử dụng để duy trì quyền kiểm soát trái phép.
• Việc thực thi lệnh với quyền nâng cao có thể làm lộ, thay đổi hoặc phá hủy dữ liệu và trạng thái vận hành của thiết bị.
• Lưu lượng mạng đi qua router có thể bị ảnh hưởng về tính bí mật, toàn vẹn hoặc khả dụng nếu thiết bị bị kiểm soát.
• Lỗ hổng yêu cầu quyền quản trị đã xác thực, vì vậy việc bảo vệ tài khoản quản trị vẫn là một kiểm soát quan trọng, nhưng không thay thế cho cập nhật firmware.
• Bản ghi không xác định một vụ rò rỉ dữ liệu, chiến dịch tấn công hoặc sự cố cụ thể nào.

1. Cập nhật Archer C20 hardware V6 bị ảnh hưởng lên firmware mới nhất mà TP-Link xác định là đã sửa lỗi, sử dụng trang hỗ trợ chính thức tương ứng với khu vực mua thiết bị.
2. Với nhánh EU, bản được TP-Link liệt kê là Archer C20(EU)_V6_0.9.1 Build 260811. Với nhánh US, bản được liệt kê là Archer C20(CPI)_V6.46_0.9.1 Build 260812.
3. Với nhánh RU, xác nhận firmware trên trang hỗ trợ TP-Link của khu vực tương ứng và kiểm tra rằng thiết bị không còn nằm dưới ranh giới RU_0.9.1 Build 260812.
4. Trước khi nâng cấp, xác minh chính xác hardware version V6 và dùng firmware từ website TP-Link chính thức của nơi mua thiết bị. Không tắt nguồn trong quá trình nâng cấp.
5. Sau khi cập nhật, xác nhận lại firmware đang chạy và rà soát các tài khoản quản trị cùng thay đổi cấu hình WAN. Advisory được cung cấp không nêu workaround cụ thể; nếu chưa thể cập nhật, cần liên hệ TP-Link để nhận hướng dẫn được xác nhận thay vì tự suy ra một biện pháp giảm nhẹ.

1. Kiểm kê các thiết bị TP-Link Archer C20 và xác nhận đúng hardware version V6, khu vực firmware và phiên bản đang chạy.
2. Đối chiếu firmware với các ranh giới khu vực trong affected_summary; không kết luận an toàn chỉ dựa trên model mà bỏ qua khu vực và build.
3. Xác định các giao diện quản trị web có thể truy cập từ mạng lân cận và rà soát tài khoản có quyền quản trị, đặc biệt các tài khoản không còn cần thiết.
4. Rà soát nhật ký quản trị và các thay đổi cấu hình WAN trong khoảng thời gian nghi ngờ. Đây là biện pháp tìm dấu hiệu chung, không phải IOC được TP-Link xác nhận.
5. Evidence hiện có không nêu event log, chuỗi lệnh hoặc IOC cụ thể. Việc không thấy dấu vết trong log không chứng minh thiết bị chưa bị khai thác.