Uwaga na krytyczną podatność w routerze TP-Linka (luka jest aktywnie exploitowana i możliwa do wykorzystania z poziomu Internetu). Dostępna jest łatka.

Podatność CVE-2023-1389 została włączona do arsenału botnetu Mirai. Podatny model routera to: TP-Link Archer AX21 (tutaj łatka).

Podatność jest klasy command injection bez uwierzytelnienia i sam atak jest względnie prosty, wystarczy takie żądanie HTTP do urządzenia:

Początkowo podatność została zaraportowana jako exploitowalna tylko z LANu, jednak udało się jakimś cudem zbałamucić iptables, tak aby przez chwilę podatna funkcja była dostępna jednak od strony WANu (Internetu):

This functionality is exposed on the LAN side of the router, as evidenced by both Team Viettel and Tenable targeting this functionality at the contest. However, the team from Qrious Security was able to exploit this vulnerability on the WAN interface of the router. They discovered a race condition issue related to iptable handling on the TP-Link’s WAN-side processing that would briefly expose this functionality on the WAN-side. This allowed them to chain the race condition weakness with the locale API command injection to gain code execution at the contest. According to TP-Link, both issues were resolved in the patch released on March 17.

W skrócie – łatajcie się, a wymówka „nie udostępniam przecież panelu administracyjnego do Internetu” tym razem nie zadziała.

~Michał Sajdak