CVE-2023-1389

Nome do Software Vulnerável e Versões Afetadas TP-Link Archer AX21 versões anteriores a 1.1.4 Build 20230219

Descrição Um invasor não autenticado pode executar comandos arbitrários com privilégios de root na interface de gerenciamento web devido a um problema de injeção de comando. A falha ocorre porque o parâmetro country na operação de gravação do endpoint '/cgi-bin/luci;stok=/locale' não é sanitizado antes de ser processado pela função popen(). Isso permite a execução remota de código por meio de uma simples requisição POST.

A exploração no mundo real foi observada por atores ligados ao estado chinês e várias botnets, incluindo Mirai e Ballista. A botnet Ballista comprometeu mais de 6.000 dispositivos em todo o mundo, visando especificamente setores como saúde, manufatura e tecnologia em países como Brasil, Polônia, Turquia, Reino Unido, México, China, Austrália e EUA. Esses dispositivos comprometidos são usados para criar botnets massivas para realizar ataques de DDoS, incluindo ataques de reflexão de DNS, e estabelecer canais de comando e controle criptografados para redirecionar usuários para sites de phishing.

Recomendações Atualize para a versão de firmware 1.1.4 Build 20230219 ou posterior. Como medida paliativa temporária, restrinja o acesso ao endpoint '/cgi-bin/luci;stok=/locale' na interface de gerenciamento web para minimizar o risco de exploração.