Matteo Strada

The pppoe wrapper vendor daemon from the Amlogic Android SDK, as shipped on Nexbox A95X (Amlogic S905/S905X) TV boxes, contains a command injection vulnerability that allows local attackers to execute arbitrary commands as root by sending crafted messages to a world-writable AF UNIX datagram socket at /dev/socket/pppoe wrapper. Attackers can send a message beginning with 'pppd pty' followed by shell metacharacters and arbitrary commands, which are passed unfiltered to system(3) and executed by /system/bin/sh -c as root, resulting in full privilege escalation.

Nexbox A95X TV boxes built on the Amlogic S905X platform contain an unauthenticated console exposed via an internal UART header on the PCB that allows physical attackers to obtain an interactive shell as uid 2000 (system) without any credentials. Attackers with physical access and a USB-to-TTL adapter can leverage this shell to reach the pppoe wrapper vendor daemon, which contains an OS command injection vulnerability executed as root, resulting in full root-level compromise of the device.

The VobSub subtitle decoder libsub vob (part of the Amlogic DroidLogic SubTitleService), as shipped on Nexbox A95X (Amlogic S905X) TV boxes, contains an infinite loop vulnerability in get vob spu() that allows unauthenticated network attackers or local users loading malicious files to trigger an unreachable loop exit condition via mismatched length fields. Attackers can send crafted AMLU data blocks over the unauthenticated tcp/10100 listener or via a malicious VobSub (.sub) file to cause the subtitle decode thread to spin at 100% CPU indefinitely, resulting in denial of service.

The VobSub subtitle decoder libsub vob (part of the Amlogic DroidLogic SubTitleService), as shipped on Nexbox A95X (Amlogic S905X) TV boxes, contains an out-of-bounds write vulnerability in vob fill pixel() that allows remote attackers to corrupt stack memory by sending a crafted SET CONTR command with an attacker-controlled alpha value that drives an unbounded array index (change data) past the end of the fixed four-element PixelDatas array. Attackers can exploit this by sending malicious VobSub data over the unauthenticated tcp/10100 socket or via a malicious .sub file to zero out adjacent stack bytes, resulting in silent stack corruption or process crash.

توجد مشكلة حقن CRLF في الدالة `xspf char data()` داخل المكون الإضافي لقائمة التشغيل XSPF. يحدث هذا لأن Expat يقوم بفك تشفير مراجع الأحرف الرقمية في XML قبل استدعاء بيانات الحرف، مما يسمح للمهاجمين بتضمين بايتات حرفية لـ Carriage Return (CR) و Line Feed (LF) في حقول URI عن طريق توفير قائمة تشغيل XSPF ضارة. ونتيجة لذلك، يمكن حقن أسطر مزيفة من نوع «مفتاح-قيمة» عبر حقل `location` في كاتب ملف الحالة واستجابات بروتوكول MPD، وتحديدًا في المخرجات «playlistinfo» و«currentsong» و«listplaylist».

يوجد تجاوز سعة مخزن المكدس في الدالة `pcm unpack 24be()` الموجودة في ملف `src/pcm/Pack.cxx`. تسمح هذه المشكلة للمهاجمين غير المصادق عليهم بإتلاف ذاكرة المكدس عن طريق إحداث خطأ كتابة بفارق واحد في المكون الإضافي لمفكك الترميز PCM. ومن خلال إصدار أمرين من أوامر MPD يشيران إلى مصدر صوت HTTP ضار، يمكن للمهاجم أن يتسبب في قيام حلقة فك التعبئة بكتابة 1366 إدخالًا في مخزن مؤقت سعته 1365 إدخالًا. تؤدي هذه العملية إلى الكتابة فوق أربعة بايتات بعد حدود المصفوفة بثلاثة بايتات يتحكم فيها المهاجم من نص استجابة HTTP، مما قد يؤدي إلى إنهاء عمل الخدمة أو تنفيذ رمز برمجي محتمل.

توجد مشكلة في اجتياز المسار داخل المكون الإضافي للتخزين المحلي في الدالتين `LocalStorage::MapFSOrThrow()` و`LocalStorage::MapUTF8()`. تحدث هذه الثغرة لأن المسار على القرص يتم إنشاؤه عن طريق ربط جذر التخزين بـ URI المقدم من المستخدم كسلاسل نصية عادية دون توحيد، مما يسمح ببقاء مقاطع ’..‘ في المسار الذي تم تحليله. يمكن لمهاجم غير مصدق استخدامه الأمر ’listfiles‘ لتعداد أسماء وأحجام وتواريخ تعديل الدلائل العشوائية التي يمكن لعملية MPD قراءتها، أو الأمر ’albumart‘ لقراءة ملفات الصور في أي دليل خارج الدليل المحدد `music directory`.

توجد مشكلة تزوير الطلبات من جانب الخادم (SSRF) في CurlInputPlugin. يتم تمكين الخيار `CURLOPT FOLLOWLOCATION` دون تحديد `CURLOPT REDIR PROTOCOLS STR`، مما يسمح للمهاجمين غير المصادق عليهم بتجاوز قيود بروتوكولات http/https. من خلال استخدام خادم HTTP ضار لإعادة توجيه الطلبات إلى بروتوكولات غير HTTP — مثل gopher أو ftp أو sftp أو ldap أو dict أو rtmp أو rtsp — يمكن للمهاجمين التفاعل مع خدمات الشبكة الداخلية أو المقيدة. وهذا ممكن على الأنظمة التي تستخدم إصدارات libcurl الأقدم من 7.85.0. يمكن إثارة هذه المشكلة عبر أوامر MPD التي تبدأ عمليات استرداد عناوين URL، وتحديدًا `add`، أو `readcomments`، أو `albumart`، أو `readpicture`، أو `load`.

توجد مشكلة في حقن الأوامر في نظام التشغيل في الملف الثنائي ’makeRequest.cgi‘. يمكن للمهاجمين عن بُعد غير المصادق عليهم تنفيذ أوامر شل تعسفية عن طريق حقن مدخلات ضارة في دالتي `set time` أو `StartSniffer`. ويتم تحقيق ذلك عن طريق صياغة طلب POST بمعلمات مفصولة بعلامة ”&“ لتجاوز عملية تنقية المدخلات، مما يسمح بتنفيذ أوامر بطول أقصى يبلغ 31 بايت عبر الأمر `date` أو معالجة معلمات القناة.

توجد مشكلة في حقن أوامر نظام التشغيل في الملف الثنائي «wireless.cgi». يمكن للمهاجمين عن بُعد غير المصادق عليهم تنفيذ أوامر شل تعسفية عن طريق حقن مدخلات ضارة في معلمات POST «sz11gChannel» أو «PIN». ويحدث ذلك بسبب المعالجة غير المُعقمة للمعلمات داخل الدالتين «set wifi basic()» و«set wifi do wps()».

توجد مشكلة في حقن أوامر نظام التشغيل في الملف الثنائي «internet.cgi». يمكن للمهاجمين عن بُعد غير المصادق عليهم تنفيذ أوامر شل تعسفية عن طريق حقن مدخلات ضارة في معلمة POST «gateway». يحدث هذا بسبب تسلسل المعلمات غير المُعقَّم داخل الدالة «set add routing()»، حيث يتم تنفيذ الأوامر عبر «popen()»، ويتم عكس جزء من المخرجات في استجابة HTTP.

توجد ثغرة تتعلق بحقن أوامر نظام التشغيل في الدالة `reboot time()` في الملف الثنائي ’adm.cgi‘. يمكن للمهاجمين عن بُعد غير المصادق عليهم تنفيذ أوامر شل تعسفية عن طريق إرسال طلب مُصمم خصيصًا يحتوي على أحرف خاصة بشل في معلمة POST `reboot time` عندما تكون قيمة `reboot enabled` مضبوطة على 1.

توجد ثغرة في حقن أوامر نظام التشغيل في الملف الثنائي `firewall.cgi` عبر خمسة معالجات للطلبات، وذلك بسبب عدم كفاية التحقق من صحة المدخلات. يمكن للمهاجمين حقن أوامر شل تعسفية باستخدام صيغة subshell أو معلمات غير مفلترة. تشمل المعلمات المتأثرة `websURLFilter` و`websHostFilter` و`portForward` و`singlePortForward` و`ipportFilter`. تبقى الحمولات المحقونة في ذاكرة NVRAM ويتم إعادة تنفيذها خلال كل طلب لاحق إلى `firewall.cgi`.

يوجد تجاوز سعة المخزن المؤقت القائم على المكدس في الملفين الثنائيين ’firewall.cgi‘ و ’makeRequest.cgi‘. يمكن للمهاجمين غير المصادق عليهم الكتابة فوق عنوان الإرجاع المحفوظ عن طريق إرسال طلب POST مع رأس `Content-Length` يتجاوز 512 بايت. وينجم هذا عن عدم كفاية التحقق من صحة الطول في دالة `fgets()`، مما قد يؤدي إلى تنفيذ تعليمات برمجية تعسفية باستخدام تقنيات البرمجة الموجهة نحو الإرجاع أو تقنيات العودة إلى libc.

يُعتبر برنامج ZIRA Group WBRM الإصدار 7.0 عرضة لثغرة أمنية تتمثل في حقن SQL في الدالة `referenceLookupsByTableNameAndColumnName`. تتيح هذه الثغرة إمكانية التلاعب باستعلامات قاعدة البيانات من خلال إدخال مصمم خصيصًا لهذا الغرض.