Command injection từ xa trong Tenda CH22

Một lỗ hổng đã được phát hiện trong Tenda CH22 1.0.0.1. Lỗ hổng này ảnh hưởng đến hàm formexeCommand của tệp /goform/exeCommand. Việc thao túng đối số cmdinput dẫn đến command injection. Cuộc tấn công có thể được khởi phát từ xa. Exploit đã được công khai và có thể được sử dụng.

• Tenda CH22 firmware 1.0.0.1 được xác định là bị ảnh hưởng.
• Thành phần liên quan là hàm formexeCommand tại /goform/exeCommand.
• Hồ sơ không nêu bản sửa lỗi, phiên bản đã khắc phục, nhánh bị ảnh hưởng bổ sung hoặc nhánh song song được xác nhận là không bị ảnh hưởng. Không nên suy luận rằng các phiên bản khác an toàn chỉ từ dữ liệu hiện có.

Thành phần dễ bị ảnh hưởng là hàm formexeCommand trong tệp /goform/exeCommand. Đối số cmdinput có thể chịu ảnh hưởng từ dữ liệu do kẻ tấn công kiểm soát. Nguồn mô tả lỗi này là CWE-77 và CWE-74, cho thấy các phần tử đặc biệt có thể không được vô hiệu hóa đúng cách trước khi dữ liệu được đưa vào xử lý lệnh ở thành phần downstream.

Ở mức khái quát, luồng tấn công được mô tả như sau:

1. Một yêu cầu từ xa tiếp cận handler formexeCommand.
2. Dữ liệu trong cmdinput được truyền vào quá trình xử lý.
3. Dữ liệu chứa các phần tử đặc biệt có thể làm thay đổi lệnh dự kiến.
4. Thiết bị có thể thực thi lệnh ngoài ý muốn.

Bằng chứng hiện có không nêu mẫu lệnh, cơ chế phân tích cú pháp, quyền thực thi của tiến trình, quy trình xác thực cụ thể hoặc nội dung phản hồi. Vì vậy, không nên suy luận thêm về payload hay mức độ kiểm soát sau khai thác.

• Khả năng tiếp cận: Lỗi có thể bị khai thác qua mạng từ xa; không cần quyền truy cập cục bộ hoặc vật lý theo thông tin hiện có.
• Điều kiện: Đánh giá được cung cấp cho biết cần quyền hạn thấp và không cần tương tác của người dùng. Cơ chế xác thực chính xác chưa được công bố.
• Độ phức tạp: Đánh giá hiện có mô tả độ phức tạp tấn công ở mức thấp.
• Trạng thái khai thác: Một public exploit và proof-of-concept đã được báo cáo. Dữ liệu CISA ADP được trả về trong nguồn GCVE phân loại trạng thái khai thác là proof-of-concept và cho biết hoạt động này không tự động hóa được.

Bằng chứng được cung cấp không nêu chiến dịch, nạn nhân hoặc việc sử dụng trong ransomware cụ thể.

Kết quả kỹ thuật trực tiếp là khả năng thực thi lệnh ngoài ý muốn thông qua đường xử lý web của thiết bị. Điều này có thể cho phép thay đổi trái phép, truy cập dữ liệu do thiết bị quản lý hoặc làm gián đoạn dịch vụ mạng, với mức độ phụ thuộc vào quyền của tiến trình và cấu hình thực tế.

Thông tin được cung cấp mô tả các ảnh hưởng có thể xảy ra đối với tính bí mật, tính toàn vẹn và tính khả dụng, đồng thời một mô hình đánh giá cho rằng phạm vi ảnh hưởng có thể vượt ra ngoài thành phần dễ bị lỗi. Hồ sơ không xác nhận khả năng duy trì truy cập, di chuyển ngang hoặc chiếm quyền các thiết bị khác.

Khai thác thành công có thể khiến thiết bị thực thi lệnh ngoài ý muốn trong ngữ cảnh bảo mật của chính thiết bị. Tùy thuộc vào quyền của tiến trình và cấu hình thiết bị, điều này có thể ảnh hưởng đến tính bí mật, tính toàn vẹn hoặc khả dụng của dữ liệu và hoạt động mạng.

Các hậu quả có thể gồm thay đổi cấu hình, lộ thông tin do thiết bị lưu giữ hoặc gián đoạn dịch vụ, nhưng bằng chứng hiện có không xác nhận một vụ xâm nhập hay sự cố cụ thể. Các tổ chức nên ưu tiên kiểm tra những thiết bị có giao diện quản trị hoặc endpoint này được mở rộng cho mạng không tin cậy.

1. Kiểm kê các thiết bị Tenda CH22 và xác định những thiết bị đang chạy firmware 1.0.0.1; xử lý chúng như tài sản bị ảnh hưởng.
2. Hồ sơ hiện không cung cấp bản sửa lỗi cụ thể. Không coi một phiên bản mới hơn chưa được nhà cung cấp xác nhận là an toàn; cần chờ hướng dẫn cập nhật chính thức hoặc xác nhận thay thế.
3. Trong thời gian chờ xử lý, hãy hạn chế giao diện quản trị và endpoint dễ bị ảnh hưởng khỏi mạng không tin cậy, đồng thời chỉ cho phép truy cập quản trị từ các mạng quản lý đáng tin cậy. Đây là biện pháp giảm khả năng tiếp cận từ xa, không phải bản sửa lỗi cho command injection.
4. VulDB ghi nhận chưa có biện pháp đối phó cụ thể được biết đến và nêu khả năng thay thế thiết bị bị ảnh hưởng bằng sản phẩm khác. Nếu không thể áp dụng bản sửa lỗi được xác nhận, hãy đánh giá việc thay thế trong quy trình quản lý tài sản và rủi ro.
5. Sau khi cập nhật hoặc thay thế, xác minh lại phiên bản, phạm vi truy cập quản trị và các thay đổi cấu hình trước khi đưa thiết bị trở lại mạng sản xuất.

1. Kiểm kê các thiết bị Tenda CH22 và xác định firmware đang chạy. Thiết bị chạy 1.0.0.1 cần được xem là thuộc phạm vi ảnh hưởng.
2. Kiểm tra xem giao diện quản trị của thiết bị có thể truy cập từ mạng không tin cậy hay không, đặc biệt là đường dẫn /goform/exeCommand.
3. Rà soát log truy cập quản trị hoặc web server cho các yêu cầu tới /goform/exeCommand và các giá trị bất thường trong cmdinput. Đây là biện pháp rà soát phòng ngừa, không phải IOC đã được xác nhận.
4. Đối chiếu các yêu cầu đó với thay đổi cấu hình ngoài dự kiến, hành vi lệnh bất thường, khởi động lại hoặc gián đoạn dịch vụ. Những dấu hiệu này là đầu mối điều tra, không tự chúng chứng minh đã bị khai thác.
5. Việc không tìm thấy log liên quan không chứng minh thiết bị an toàn, vì bằng chứng hiện có không xác định định dạng log hoặc cơ chế ghi nhận của sản phẩm.