CVE-2018-14558
Tenda AC7, AC9, and AC10 Routers Command Injection Vulnerability
Beschreibung
CVE-2018-14558 ist eine kritische Command-Injection-Schwachstelle, die mehrere Tenda-Router-Modelle betrifft, darunter AC7, AC9 und AC10. Die formsetUsbUnload-Funktion in der Router-Firmware führt eine dosystemCmd-Funktion mit nicht vertrauenswürdigen Eingaben aus der goform/setUsbUnload-Anfrage aus, wodurch entfernte Angreifer beliebige Betriebssystembefehle ohne Authentifizierung ausführen können. Diese Command-Injection-Schwachstelle betrifft Tenda AC7 Firmware bis V15.03.06.44_CN, AC9 Firmware bis V15.03.05.19(6318)_CN und AC10 Firmware bis V15.03.06.23_CN. CISA hat CVE-2018-14558 in den Katalog der bekannten ausgenutzten Schwachstellen aufgenommen, und der EPSS-Score von 77,3 % (99,0. Perzentil) weist auf eine sehr hohe Ausnutzungswahrscheinlichkeit hin.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| tenda | ac7 firmware | <= 15.03.06.44_cn |
| tenda | ac9 firmware | <= 15.03.05.19\(6318\)_cn |
| tenda | ac10 firmware | <= 15.03.06.23_cn |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Referenzen
- https://github.com/zsjevilhex/iot/blob/master/route/tenda/tenda-01/Tenda.md(Broken Link, Exploit, Third Party Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2018-14558(US Government Resource)
Schwachstellentyp
CWE-78: Improper Neutralization of Special Elements used in an OS Command (OS Command Injection)
OS Command Injection tritt auf, wenn Software Betriebssystembefehle ganz oder teilweise unter Verwendung extern beeinflusster Eingaben erstellt, ohne Sonderzeichen ordnungsgemäß zu neutralisieren, die den beabsichtigten Befehl verändern könnten. Bei CVE-2018-14558 übergibt die formsetUsbUnload-Funktion der Tenda-Router-Firmware benutzerseitig bereitgestellte Daten vom goform/setUsbUnload-Endpunkt direkt an die dosystemCmd-Funktion, was es Angreifern ermöglicht, beliebige Betriebssystembefehle über manipulierte POST-Anfragen einzuschleusen.
Mehr erfahren: CWE-78 — OS Command Injection
Auswirkungsanalyse
CVE-2018-14558 hat einen CVSS-3.1-Score von 9,8 (CRITICAL) und stellt damit eine äußerst schwerwiegende Bedrohung über alle drei Auswirkungsdimensionen dar. Die Schwachstelle ist über das Netzwerk aus der Ferne ausnutzbar, weist eine geringe Angriffskomplexität auf, erfordert keine Authentifizierung und keine Benutzerinteraktion. Vertraulichkeit (Hoch): Angreifer, die beliebige OS-Befehle ausführen, erhalten uneingeschränkten Zugriff auf alle auf dem Router gespeicherten Daten, einschließlich WLAN-Zugangsdaten, Informationen über verbundene Geräte und Netzwerkkonfigurationsdetails. Integrität (Hoch): Die Befehlsausführung ermöglicht die Änderung von Firmware, Routing-Tabellen, DNS-Einstellungen und Firewall-Regeln, was persistente Backdoors oder Man-in-the-Middle-Angriffe ermöglicht. Verfügbarkeit (Hoch): Angreifer können Dienste herunterfahren, das Gerät unbrauchbar machen oder es als Ausgangspunkt für Denial-of-Service-Angriffe gegen andere Netzwerkressourcen nutzen. Mit einem EPSS-Score von 77,3 % (99,0. Perzentil) ist die Ausnutzung sehr wahrscheinlich, und die breite Palette betroffener Tenda-Modelle vergrößert die Angriffsfläche erheblich.
Exploit-Reifegrad
CVE-2018-14558 wird durch die Aufnahme in den CISA-Katalog bekannter ausgenutzter Schwachstellen als aktiv ausgenutzt bestätigt. Der EPSS-Score von 77,3 % (99,0. Perzentil) weist auf eine sehr hohe Ausnutzungswahrscheinlichkeit hin. Die Einfachheit der Schwachstelle (direkte Command-Injection über einen POST-Parameter) und ihre Präsenz in weit verbreiteten Consumer-Routern machen sie zu einem bevorzugten Ziel für IoT-Botnets und automatisierte Scan-Kampagnen. Bundesbehörden waren verpflichtet, bis zum 03.05.2022 gemäß der CISA-Richtlinie zu beheben.
Behebung
- Firmware-Updates sofort einspielen gemäß CISA-KEV-Anforderung: Updates gemäß Herstelleranweisungen anwenden. Betroffene Tenda-Geräte (AC7, AC9, AC10) auf die neuesten Firmware-Versionen aktualisieren, die die Command-Injection im goform/setUsbUnload-Endpunkt beheben.
- WAN-seitigen Verwaltungszugriff deaktivieren: Sicherstellen, dass die Web-Verwaltungsoberfläche des Routers und der goform/setUsbUnload-Endpunkt nicht über das Internet erreichbar sind. Das Gerät so konfigurieren, dass Verwaltungszugriff nur aus dem lokalen Netzwerk möglich ist.
- Netzwerksegmentierung einsetzen: Betroffene Tenda-Router in einem dedizierten Netzwerksegment mit strikten Zugriffskontrolllisten (ACLs) isolieren, um eine potenzielle Kompromittierung einzudämmen und laterale Bewegung zu verhindern.
- Auf Kompromittierungsindikatoren überwachen: Netzwerkverkehrsprotokolle auf ungewöhnliche Aktivitäten prüfen, die vom Router ausgehen, einschließlich unerwarteter DNS-Abfragen, Verbindungen zu bekannten Botnet-Command-and-Control-Servern oder anomaler Datenverkehrsvolumina.
- Geräteaustausch planen: Angesichts der mehreren betroffenen Tenda-Modelle und der Herstellerhistorie mit ähnlichen Schwachstellen (siehe auch CVE-2020-10987) den Austausch dieser Geräte durch Enterprise-Router evaluieren, die dokumentierte Sicherheitsupdate-Verpflichtungen und ordnungsgemäße Eingabevalidierungspraktiken aufweisen.
Technische Details
CVE-2018-14558 ist eine OS-Command-Injection-Schwachstelle, die den goform/setUsbUnload-Endpunkt über mehrere Tenda-Router-Modelle hinweg betrifft: AC7 (Firmware bis V15.03.06.44_CN), AC9 (Firmware bis V15.03.05.19(6318)_CN) und AC10 (Firmware bis V15.03.06.23_CN). Die Grundursache liegt in der formsetUsbUnload-Funktion, die benutzerseitig bereitgestellte Eingaben aus der POST-Anfrage übernimmt und direkt an die dosystemCmd-Funktion weitergibt, ohne jegliche Bereinigung, Filterung oder Maskierung von Shell-Metazeichen. Der CVSS-Vektor (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) bestätigt, dass der Angriff netzwerkbasiert ist, eine geringe Komplexität aufweist und keine Berechtigungen oder Benutzerinteraktion erfordert. Ein Angreifer kann eine bösartige POST-Anfrage an goform/setUsbUnload erstellen, die Shell-Befehle in den Anfrageparametern enthält, die dann direkt vom Betriebssystem mit den Berechtigungen des Webserver-Prozesses ausgeführt werden, der auf diesen Embedded-Linux-Geräten typischerweise als Root läuft.
Häufig gestellte Fragen
Wird CVE-2018-14558 aktiv ausgenutzt?
Ja. CVE-2018-14558 ist im CISA-Katalog bekannter ausgenutzter Schwachstellen gelistet, was eine aktive Ausnutzung bestätigt. Der EPSS-Score von 77,3 % (99,0. Perzentil) weist auf eine sehr hohe Ausnutzungswahrscheinlichkeit hin, und die unkomplizierte Natur der Command-Injection macht sie leicht waffenfähig.
Welche Produkte sind von CVE-2018-14558 betroffen?
CVE-2018-14558 betrifft drei Tenda-Router-Modelle: AC7 (Firmware bis V15.03.06.44_CN), AC9 (Firmware bis V15.03.05.19(6318)_CN) und AC10 (Firmware bis V15.03.06.23_CN). Alle drei Modelle teilen den verwundbaren goform/setUsbUnload-Endpunkt.
Wie behebe ich CVE-2018-14558?
Spielen Sie die neuesten Firmware-Updates von Tenda für die betroffenen AC7-, AC9- und AC10-Modelle ein. Falls keine Patches verfügbar sind, deaktivieren Sie den Remote-Verwaltungszugriff, beschränken Sie die Weboberfläche auf das lokale Netzwerk und ziehen Sie einen Geräteaustausch in Betracht.
Wie schwerwiegend ist CVE-2018-14558?
CVE-2018-14558 hat einen CVSS-3.1-Score von 9,8 (CRITICAL), die höchste Schweregrad-Klassifizierung. Die Schwachstelle ermöglicht nicht authentifizierte Remote-OS-Befehlsausführung über mehrere Router-Modelle hinweg und stellt ein unmittelbares Risiko für jedes Netzwerk dar, das diese Tenda-Geräte verwendet.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.