Jacob Baines

These devices ship with a backdoor command-and-control implant called `yunmgrd`. This implant communicates via an unauthenticated cleartext UDP channel to a hardcoded C2 server. A remote unauthenticated attacker positioned on the network path can hijack this channel to execute arbitrary commands with root privileges. Additionally, the attacker can modify DNS entries, exfiltrate PPPoE credentials, and establish reverse SSH tunnels.

The `infosrvd` service, which listens on the UDP/9992 endpoint, contains an unauthenticated command injection. A remote attacker can send a specially crafted UDP packet to execute arbitrary commands with root privileges. The authentication mechanism is ineffective because it relies on a hardcoded salt and an all-zero wildcard MAC bypass.

يحتوي برنامج التشغيل الثابت لموجهات Zbtlink على برنامج ضار مدمج للتحكم عن بُعد يُعرف باسم ENDLESSDOORS، وهو مدمج كحزمة OpenWrt (`librctl.so`). يعمل البرنامج الضار بامتيازات الجذر تحت اسم العملية `kworker` لتقليد خيوط النواة. وهي تُنشئ اتصال TCP غير مُصادق عليه وبنص عادي إلى خادم أوامر وتحكم مُبرمج بشكل ثابت، باستخدام المنفذ 7000 للأوامر والمنفذ 7001 لعمليات الاستدعاء التفاعلية للصدفة. يستخدم البرنامج الخبيث الدالة `popen()` لتنفيذ السلاسل المستلمة بصفة الجذر (uid=0)، ويوفر أمر `rctlbash` محدد صدفة تفاعلية بصفة الجذر. ونظرًا لعدم وجود مصادقة أو تشفير، يمكن لأي كيان قادر على اعتراض مسار الشبكة أو التحكم في عنوان C2 تنفيذ تعليمات برمجية عن بُعد دون مصادقة بصفة الجذر.

يحتوي خادم الويب الإداري على بيانات اعتماد مبرمجة بشكل ثابت، مما يسمح للمهاجم بتجاوز عملية المصادقة. وباستخدام طلبات HTTP مصممة خصيصًا ومعرفة بيانات الاعتماد هذه، يمكن للمهاجم عن بُعد الحصول على وصول إداري غير مصرح به إلى المعلومات المحمية. وقد وصلت هذه المشكلة إلى مرحلة الاستغلال الجماعي، حيث يستخدم المهاجمون أجهزة التوجيه الصناعية المعرضة للخطر لبناء بنية تحتية لشبكة الروبوتات (botnet).

تتعلق المشكلة بتجاوز عملية المصادقة في خادم الويب الإداري لجهاز التوجيه Four-Faith F3x36. وعلى وجه التحديد، لا يُشترط المصادقة في بعض الوظائف الإدارية عند استخدام نقطة النهاية ”bapply.cgi“ بدلاً من نقطة النهاية العادية ”apply.cgi“. وهذا يسمح لمستخدم بعيد غير مصادق عليه بتعديل الإعدادات أو استغلال هذه الثغرة مع الثغرات الأمنية الموجودة التي تتطلب المصادقة.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة: Netgear FVS336Gv2 (الإصدارات المتأثرة غير محددة) Netgear FVS336Gv3 (الإصدارات المتأثرة غير محددة) الوصف: تتعلق المشكلة بثغرة أمنية تتمثل في إمكانية حقن الأوامر في واجهة Telnet. يمكن لمهاجم بعيد ومصادق عليه تنفيذ أوامر تعسفية لنظام التشغيل بصفة الجذر (root) عبر Telnet عن طريق إرسال أوامر `util backup configuration` تم التلاعب بها. التوصيات: بالنسبة لجهاز Netgear FVS336Gv2، يُنصح بتعطيل واجهة Telnet حتى يتوفر تصحيح. بالنسبة لجهاز Netgear FVS336Gv3، قم بتقييد الوصول إلى الأمر `util backup configuration` لتقليل مخاطر الاستغلال. في الوقت الحالي، لا توجد معلومات عن إصدار أحدث يحتوي على تصحيح لهذه الثغرة الأمنية.

A vulnerability in the upload module could allow an authenticated, remote attacker to execute arbitrary code on an affected device. This issue is due to insufficient boundary checks when processing specific HTTP requests. An attacker could exploit this by sending crafted HTTP requests to an affected device, potentially allowing the execution of arbitrary code as the root user on the underlying operating system.

The issue is a code execution vulnerability affecting ASUS routers that support custom OpenVPN profiles. An authenticated and remote attacker can execute arbitrary operating system commands by uploading a crafted OVPN profile.

The issue is related to a parameter injection vulnerability in the HTTP interface. A remote and authenticated attacker can execute arbitrary code by sending a crafted HTTP request. Authentication may be possible using a default user and password. The affected models are the UCM6202, UCM6204, UCM6208, and UCM6510.

The web server used by MikroTik RouterOS is affected by a heap memory corruption issue. A remote and unauthenticated attacker can corrupt the server's heap memory by sending a crafted HTTP request. As a result, the web interface crashes and is immediately restarted.

The issue is related to a violation of secure design principles in the communication of CAMS for HIS. An adjacent attacker can compromise a computer using CAMS for HIS software and use credentials from the compromised machine to access data from another machine using CAMS for HIS software. This can lead to a disabling of CAMS for HIS software functions on any affected machines, or information disclosure/alteration.

The issue is related to insufficient access restrictions in the Windows Print Spooler service, allowing a remote attacker to execute arbitrary code with SYSTEM privileges by loading a malicious DLL library. This could enable the attacker to install programs, view, change, or delete data, or create new accounts with full user rights.

The HTTP interface of the Grandstream UCM6200 series is vulnerable to an unauthenticated remote SQL injection via crafted HTTP request. This issue is related to errors in input data validation. An attacker can exploit this to execute shell commands as root or inject HTML in password recovery emails.

The issue is related to a denial of service due to a use after free, where a remote unauthenticated attacker can crash the server by sending multiple HTTP POST requests. This causes the `retrieve url()` function to use a freed variable, leading to the denial of service.

The issue is related to a denial of service vulnerability caused by a NULL pointer dereference. A remote unauthenticated attacker can crash the ELOG server by sending a crafted HTTP GET request to a vulnerable API endpoint, such as "/api/elog".

The issue allows a remote attacker to poison the router's DNS cache via malicious responses with additional and untrue records. This is due to the router adding all A records to its DNS cache even when the records are unrelated to the domain that was queried. The vulnerability exists because of insufficient input validation, which can allow an attacker to cause damage to the integrity of the data in the DNS system.

The issue allows an unauthenticated, remote person to access the HTTP endpoint "/videotalk" without requiring authentication. This could potentially allow the person to listen to the audio of the capturing device.

The issue is related to errors in the authorization procedure of the web-based management interface, which could allow a remote attacker to access protected information. Specifically, the vulnerability is due to improper authorization of an HTTP request, allowing an unauthenticated attacker to access the syslog file on an affected device by accessing its URL.

The issue allows a remote, unauthenticated attacker to execute operating system commands as root via command injection through the "file transfer.cgi" HTTP endpoint.

The issue is related to directory traversal errors in the restricted access directory path. An authenticated, remote attack can exploit this to read and write files outside of the sandbox directory (/rw/disk) via the HTTP or Winbox interfaces.