Jacob Baines

Estes dispositivos são fornecidos com um implante de comando e controle (backdoor) chamado `yunmgrd`. Este implante comunica-se através de um canal UDP de texto simples não autenticado para um servidor C2 codificado. Um invasor remoto não autenticado no caminho da rede pode sequestrar este canal e executar comandos arbitrários como root. O invasor também pode modificar entradas de DNS, exfiltrar credenciais PPPoE e abrir túneis SSH reversos.

O serviço `infosrvd`, que escuta no endpoint UDP/9992, contém uma injeção de comando não autenticada. Um invasor remoto pode enviar um pacote UDP especialmente criado para executar comandos arbitrários com privilégios de root. O mecanismo de autenticação é ineficaz pois utiliza um salt fixo (hardcoded) e um bypass de MAC wildcard composto por zeros.

O firmware do roteador Zbtlink contém um implante de controle remoto incorporado conhecido como ENDLESSDOORS, integrado como um pacote OpenWrt (`librctl.so`). O implante é executado como root sob o nome de processo `kworker` para mimetizar threads do kernel. Ele estabelece uma conexão TCP em texto claro e não autenticada com um servidor de comando e controle (C2) pré-configurado, utilizando a porta 7000 para comandos e a porta 7001 para callbacks de shell interativa. O implante utiliza a função `popen()` para executar strings recebidas como root (uid=0), e um comando `rctlbash` específico fornece um shell root interativo. Devido à ausência de autenticação e criptografia, qualquer entidade capaz de interceptar o caminho da rede ou controlar o endereço do C2 pode obter a execução remota de código não autenticada como root.

O servidor web administrativo contém credenciais codificadas, o que permite que um invasor ignore a autenticação. Ao utilizar solicitações HTTP manipuladas e o conhecimento dessas credenciais, um invasor remoto pode obter acesso administrativo não autorizado a informações protegidas. Este problema atingiu uma fase de exploração em massa, na qual invasores estão utilizando roteadores industriais expostos para construir infraestrutura de botnets.

O problema refere-se a um bypass de autenticação no servidor web administrativo do roteador Four-Faith F3x36. Especificamente, a autenticação não é exigida em algumas funcionalidades administrativas ao utilizar o endpoint "bapply.cgi" em vez do endpoint normal "apply.cgi". Isso permite que um usuário remoto e não autenticado modifique configurações ou encadeie essa falha com vulnerabilidades existentes que requerem autenticação.

Nome do Software Vulnerável e Versões Afetadas: Netgear FVS336Gv2 (versões afetadas não especificadas) Netgear FVS336Gv3 (versões afetadas não especificadas) Descrição: O problema refere-se a uma vulnerabilidade de injeção de comando na interface Telnet. Um atacante remoto e autenticado pode executar comandos arbitrários do sistema operacional como root através do Telnet enviando comandos `util backup configuration` manipulados. Recomendações: Para o Netgear FVS336Gv2, considere desativar a interface Telnet até que uma correção esteja disponível. Para o Netgear FVS336Gv3, restrinja o acesso ao comando `util backup configuration` para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Uma vulnerabilidade no módulo de upload pode permitir que um invasor remoto autenticado execute código arbitrário em um dispositivo afetado. Esse problema se deve a verificações de limites insuficientes ao processar solicitações HTTP específicas. Um invasor poderia explorar essa vulnerabilidade enviando solicitações HTTP maliciosas a um dispositivo afetado, permitindo potencialmente a execução de código arbitrário como usuário root no sistema operacional subjacente.

O problema é uma vulnerabilidade de execução de código que afeta roteadores ASUS que suportam perfis OpenVPN personalizados. Um invasor remoto autenticado pode executar comandos arbitrários do sistema operacional ao enviar um perfil OVPN malicioso.

O problema está relacionado a uma vulnerabilidade de injeção de parâmetros na interface HTTP. Um invasor remoto e autenticado pode executar código arbitrário enviando uma solicitação HTTP maliciosa. A autenticação pode ser possível usando um usuário e senha padrão. Os modelos afetados são o UCM6202, UCM6204, UCM6208 e UCM6510.

The web server used by MikroTik RouterOS is affected by a heap memory corruption issue. A remote and unauthenticated attacker can corrupt the server's heap memory by sending a crafted HTTP request. As a result, the web interface crashes and is immediately restarted.

O problema está relacionado a uma violação dos princípios de design seguro na comunicação do CAMS for HIS. Um invasor próximo pode comprometer um computador que utilize o software CAMS for HIS e usar as credenciais da máquina comprometida para acessar dados de outra máquina que utilize o software CAMS for HIS. Isso pode levar à desativação das funções do software CAMS for HIS em qualquer máquina afetada, ou à divulgação/alteração de informações.

O problema está relacionado a restrições de acesso insuficientes no serviço Windows Print Spooler, permitindo que um invasor remoto execute código arbitrário com privilégios de SISTEMA ao carregar uma biblioteca DLL maliciosa. Isso poderia permitir que o invasor instalasse programas, visualizasse, alterasse ou excluísse dados, ou criasse novas contas com direitos de usuário completos.

A interface HTTP da série Grandstream UCM6200 está vulnerável a uma injeção SQL remota não autenticada por meio de uma solicitação HTTP maliciosa. Esse problema está relacionado a erros na validação dos dados de entrada. Um invasor pode explorar essa vulnerabilidade para executar comandos shell como root ou injetar HTML em e-mails de recuperação de senha.

The issue is related to a denial of service due to a use after free, where a remote unauthenticated attacker can crash the server by sending multiple HTTP POST requests. This causes the `retrieve url()` function to use a freed variable, leading to the denial of service.

The issue is related to a denial of service vulnerability caused by a NULL pointer dereference. A remote unauthenticated attacker can crash the ELOG server by sending a crafted HTTP GET request to a vulnerable API endpoint, such as "/api/elog".

The issue allows a remote attacker to poison the router's DNS cache via malicious responses with additional and untrue records. This is due to the router adding all A records to its DNS cache even when the records are unrelated to the domain that was queried. The vulnerability exists because of insufficient input validation, which can allow an attacker to cause damage to the integrity of the data in the DNS system.

The issue allows an unauthenticated, remote person to access the HTTP endpoint "/videotalk" without requiring authentication. This could potentially allow the person to listen to the audio of the capturing device.

The issue is related to errors in the authorization procedure of the web-based management interface, which could allow a remote attacker to access protected information. Specifically, the vulnerability is due to improper authorization of an HTTP request, allowing an unauthenticated attacker to access the syslog file on an affected device by accessing its URL.

The issue allows a remote, unauthenticated attacker to execute operating system commands as root via command injection through the "file transfer.cgi" HTTP endpoint.

The issue is related to directory traversal errors in the restricted access directory path. An authenticated, remote attack can exploit this to read and write files outside of the sandbox directory (/rw/disk) via the HTTP or Winbox interfaces.