CVE-2020-10987
Tenda AC1900 Router AC15 Model Remote Code Execution Vulnerability
Beschreibung
CVE-2020-10987 ist eine kritische OS-Command-Injection-Schwachstelle im Tenda-AC15-AC1900-Router. Der goform/setUsbUnload-Endpunkt ermöglicht es entfernten, nicht authentifizierten Angreifern, beliebige Systembefehle über den deviceName-POST-Parameter auszuführen. Diese Command-Injection-Schwachstelle betrifft die Tenda-AC15-Firmware-Version 15.03.05.19 und ermöglicht die vollständige Übernahme des Geräts. CISA hat die aktive Ausnutzung bestätigt, indem CVE-2020-10987 in den Katalog der bekannten ausgenutzten Schwachstellen aufgenommen wurde, und der EPSS-Score von 93,6 % (99,8. Perzentil) weist auf nahezu sichere Ausnutzungsaktivitäten hin.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| tenda | ac15 firmware | 15.03.05.19 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Referenzen
- https://blog.securityevaluators.com/tenda-ac1900-vulnerabilities-discovered-and-exploited-e8e26aa0bc68(Exploit, Third Party Advisory)
- https://www.ise.io/research/(Third Party Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2020-10987(US Government Resource)
Schwachstellentyp
CWE-78: Improper Neutralization of Special Elements used in an OS Command (OS Command Injection)
OS Command Injection tritt auf, wenn Software Betriebssystembefehle unter Verwendung extern beeinflusster Eingaben erstellt, ohne Sonderzeichen ordnungsgemäß zu neutralisieren, die den beabsichtigten Befehl verändern könnten. Bei CVE-2020-10987 übergibt der goform/setUsbUnload-Endpunkt des Tenda-AC15-Routers den deviceName-POST-Parameter direkt an Systembefehlsausführungsfunktionen ohne Bereinigung, wodurch Angreifer beliebige Betriebssystembefehle einschleusen und ausführen können.
Mehr erfahren: CWE-78 — OS Command Injection
Auswirkungsanalyse
CVE-2020-10987 hat einen CVSS-3.1-Score von 9,8 (CRITICAL) und repräsentiert damit die höchste Schweregrad-Stufe. Die Schwachstelle ist über das Netzwerk aus der Ferne ausnutzbar, weist eine geringe Angriffskomplexität auf, erfordert keine Authentifizierung und keine Benutzerinteraktion – sie ist damit für jeden Angreifer trivial ausnutzbar, der die Weboberfläche des Geräts erreichen kann. Vertraulichkeit (Hoch): Beliebige Befehlsausführung gewährt Zugriff auf alle Daten des Geräts, einschließlich gespeicherter Zugangsdaten, Netzwerkkonfigurationen und des über den Router geleiteten Datenverkehrs. Integrität (Hoch): Angreifer können Firmware modifizieren, Routing-Regeln ändern, bösartige DNS-Einträge einschleusen oder persistente Backdoors installieren. Verfügbarkeit (Hoch): Vollständiger Denial-of-Service ist möglich durch Störung des Router-Betriebs oder Zurücksetzung des Geräts. Mit einem EPSS-Score von 93,6 % (99,8. Perzentil) gehört diese Schwachstelle zu den am häufigsten angegriffenen in der gesamten CVE-Datenbank.
Exploit-Reifegrad
CVE-2020-10987 wird durch die Aufnahme in den CISA-Katalog bekannter ausgenutzter Schwachstellen als aktiv ausgenutzt bestätigt. Öffentliche Exploit-Informationen sind verfügbar über einen detaillierten Sicherheitsforschungsbericht, der die Ausnutzungsmethodik dokumentiert. Der EPSS-Score von 93,6 % (99,8. Perzentil) weist auf nahezu sichere Ausnutzungsaktivitäten hin. IoT-Botnets scannen bekanntermaßen aktiv nach Command-Injection-Schwachstellen in Consumer-Routern wie dem Tenda AC15 und nutzen diese aus. Bundesbehörden waren verpflichtet, bis zum 03.05.2022 gemäß der CISA-Richtlinie zu beheben.
Behebung
- Firmware-Updates sofort einspielen gemäß CISA-KEV-Anforderung: Updates gemäß Herstelleranweisungen anwenden. Tenda-AC15-Geräte auf eine Firmware-Version aktualisieren, die die Command-Injection im goform/setUsbUnload-Endpunkt behebt.
- Remote-Management-Zugriff deaktivieren: Sicherstellen, dass die Web-Verwaltungsoberfläche des Routers nicht über das Internet erreichbar ist. WAN-seitigen Verwaltungszugriff deaktivieren und den goform/setUsbUnload-Endpunkt auf vertrauenswürdige interne Netzwerke beschränken.
- Netzwerk-Filterung implementieren: Firewall- oder ACL-Regeln einsetzen, um externen Zugriff auf die Verwaltungsports des Routers (typischerweise HTTP/HTTPS auf Port 80/443) zu blockieren. Den Router hinter einer separaten Firewall mit strikten Eingangsregeln platzieren.
- Auf Kompromittierungsanzeichen überwachen: Den Router auf unbefugte Firmware-Änderungen, unerwartete DNS-Konfigurationsänderungen, ungewöhnliche ausgehende Datenverkehrsmuster oder Verbindungen zu bekannter Command-and-Control-Infrastruktur prüfen.
- Geräteaustausch evaluieren: Falls der Hersteller keinen Firmware-Patch veröffentlicht hat, den Tenda AC15 durch einen Router eines Herstellers ersetzen, der regelmäßige Sicherheitsupdates und Eingabevalidierung für alle Verwaltungsendpunkte bereitstellt.
Technische Details
CVE-2020-10987 ist eine OS-Command-Injection-Schwachstelle im goform/setUsbUnload-Endpunkt des Tenda-AC15-AC1900-Routers mit Firmware-Version 15.03.05.19. Der verwundbare Code übernimmt den deviceName-Parameter aus einer POST-Anfrage und übergibt ihn direkt an eine Systembefehlsausführungsfunktion ohne jegliche Eingabebereinigung oder -validierung, was eine unsachgemäße Neutralisierung von Sonderelementen in einem OS-Befehl (CWE-78) darstellt. Der CVSS-Vektor (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) bestätigt, dass der Angriff netzwerkbasiert ist, keine Authentifizierung oder Benutzerinteraktion erfordert und eine geringe Komplexität aufweist. Ein Angreifer kann Shell-Metazeichen wie Semikolons, Pipes oder Befehlssubstitutionssequenzen in den deviceName-Parameter einschleusen, um beliebige Befehle mit Root-Rechten auf dem zugrunde liegenden Linux-Betriebssystem auszuführen und somit die vollständige Kontrolle über das Gerät zu erlangen.
Häufig gestellte Fragen
Wird CVE-2020-10987 aktiv ausgenutzt?
Ja. CVE-2020-10987 ist im CISA-Katalog bekannter ausgenutzter Schwachstellen gelistet, was eine aktive Ausnutzung bestätigt. Der EPSS-Score von 93,6 % (99,8. Perzentil) weist auf nahezu sichere Ausnutzung hin, und detaillierte Sicherheitsforschung zur Ausnutzungsmethodik ist öffentlich verfügbar.
Welche Produkte sind von CVE-2020-10987 betroffen?
CVE-2020-10987 betrifft den Tenda-AC15-AC1900-Router mit Firmware-Version 15.03.05.19. Die Schwachstelle befindet sich im goform/setUsbUnload-Endpunkt, konkret in der Verarbeitung des deviceName-POST-Parameters.
Wie behebe ich CVE-2020-10987?
Aktualisieren Sie den Tenda AC15 auf die neueste Firmware des Herstellers. Falls kein Patch verfügbar ist, deaktivieren Sie den Remote-Management-Zugriff, schränken Sie den Zugriff auf die Verwaltungsoberfläche aus dem Internet ein und ziehen Sie einen Geräteaustausch in Betracht.
Wie schwerwiegend ist CVE-2020-10987?
CVE-2020-10987 hat einen CVSS-3.1-Score von 9,8 (CRITICAL), die höchste Schweregrad-Klassifizierung. Die Schwachstelle ermöglicht nicht authentifizierte Remote-Befehlsausführung ohne Benutzerinteraktion und gibt Angreifern die vollständige Kontrolle über das betroffene Gerät.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.