El router para juegos TP-Link Archer C5400X es vulnerable a fallos de seguridad que podrían permitir a un atacante remoto no autenticado ejecutar comandos en el dispositivo.
El TP-Link Archer C5400X es un router para juegos tribanda de gama alta diseñado para proporcionar un rendimiento robusto y funciones avanzadas para juegos y otras aplicaciones exigentes, y basándose en el número de opiniones de usuarios que el producto tiene en las tiendas en línea, parece ser una opción popular entre los jugadores.
La ejecución arbitraria de comandos en los routers puede conducir al secuestro de los mismos, la interceptación de datos, el cambio de la configuración DNS y, potencialmente, la violación de las redes internas.
Detalles de la vulnerabilidad
El fallo en el TP-Link Archer C5400X se rastrea como CVE-2024-5035 (puntuación CVSS v4: 10.0, «crítico») y fue identificado por los analistas de OneKey mediante un análisis estático binario.
Los investigadores descubrieron que el binario 'rftest' expone un servicio de red vulnerable a la inyección de comandos y desbordamientos de búfer en los puertos TCP 8888, 8889 y 8890.
El servicio «rftest» ejecuta una escucha de red en estos puertos para realizar la autoevaluación de la interfaz inalámbrica y otras tareas relacionadas.
Un atacante que utilice metacaracteres de shell puede enviar mensajes especialmente diseñados a estos puertos, consiguiendo potencialmente la ejecución de comandos arbitrarios con privilegios elevados.
Los metacaracteres de shell son caracteres especiales como el punto y coma, los ampersands y las tuberías que se utilizan para un mejor control de las funciones en los shells de línea de comandos. Sin embargo, también se puede abusar de ellos para ejecutar comandos cuando la entrada del usuario no se desinfecta correctamente para evitar acciones no autorizadas.
Inyección de ID de comando a través del puerto 8888
Solución disponible
Como los puertos mencionados están abiertos y son utilizados activamente por el servicio 'rftest' en la configuración por defecto del router, afectan a todos los usuarios del dispositivo que utilicen las versiones de firmware vulnerables, hasta la 1.1.1.6.
Los analistas de OneKey informaron de sus hallazgos al PSIRT de TP-Link el 16 de febrero de 2024, mientras que el vendedor tenía listo un parche beta para el 10 de abril de 2024.
Finalmente, la actualización de seguridad llegó a finales de la semana pasada, el 24 de mayo de 2024, con el lanzamiento de Archer C5400X(EU)_V1_1.1.7 Build 20240510, que soluciona de forma efectiva la CVE-2024-5035.
La solución implementada fue descartar cualquier comando que contenga metacaracteres de shell, por lo que estos se filtran en todos los mensajes entrantes.
Se recomienda a los usuarios que descarguen la actualización del firmware desde el portal de descargas oficial de TP-Link o que utilicen el panel de administración de su router para realizar la actualización.
Fuente: bleepingcomputer