CVE-2025-30241
WysokieCVSS 8.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 33 - wyżej niż 33% wszystkich znanych CVE
Streszczenie
W niektórych urządzeniach TP-Link Aginet komponenty interfejsu webowego nie walidują i nie sanityzują poprawnie danych wprowadzanych przez użytkownika przed przekazaniem ich do funkcji wykonywania poleceń na poziomie systemu. Uwierzytelniony atakujący z sąsiedztwa może wstrzyknąć specjalnie spreparowane dane, aby wykonać dowolne polecenia systemu operacyjnego z podwyższonymi uprawnieniami. Udane wykorzystanie może pozwolić na wykonanie dowolnych poleceń systemowych, potencjalnie prowadząc do pełnego przejęcia urządzenia.
Ocena ryzyka
Ryzyko pełnego przejęcia urządzenia przez uwierzytelnionego atakującego z sieci lokalnej, co może prowadzić do naruszenia integralności i poufności danych oraz zakłócenia działania urządzenia.
Rekomendacja
Zastosuj aktualizacje oprogramowania układowego dostarczone przez producenta, które naprawiają walidację danych wejściowych. Ogranicz dostęp do interfejsu zarządzania tylko do zaufanych sieci.
Inne podatności w TP-Link Aginet
Zobacz wszystkie- CVE-2025-30240Średnie
Urządzenia TP-Link Aginet nie walidują poprawnie dowiązań symbolicznych tworzonych na zewnętrznych nośnikach USB. Atakujący może umieścić spreparowane dowiązanie symboliczne na wspieranym nośniku, co może spowodować, że system rozwiąże to dowiązanie, umożliwiając nieautoryzowany odczyt wrażliwych plików w systemie plików urządzenia.
- CVE-2025-30239Wysokie
W urządzeniach TP-Link Aginet użycie twardo zakodowanych kluczy kryptograficznych w oprogramowaniu układowym do ochrony wrażliwych danych konfiguracyjnych może pozwolić atakującemu z dostępem do pamięci urządzenia na odzyskanie kluczy i odszyfrowanie przechowywanych danych. Udane wykorzystanie może umożliwić dostęp do odszyfrowanych wrażliwych danych konfiguracyjnych, w tym poświadczeń i informacji związanych z usługami.
- CVE-2025-30238Wysokie
W urządzeniach TP-Link Aginet niewystarczająca walidacja autoryzacji pozwala uwierzytelnionym użytkownikom o niskich uprawnieniach na wykonywanie operacji o wyższych uprawnieniach. Atakujący może wykonywać działania administracyjne, takie jak tworzenie uprzywilejowanych kont lub modyfikowanie krytycznych ustawień konfiguracyjnych.
- CVE-2025-30237Wysokie
Urządzenia TP-Link Aginet zawierają błąd w interfejsie zarządzania webowego, gdzie kontrole uwierzytelniania nie są konsekwentnie egzekwowane na niektórych punktach końcowych. Atakujący może wysyłać specjalnie spreparowane żądania, aby ominąć uwierzytelnianie i bezpośrednio wywołać uprzywilejowane funkcje bez ważnych poświadczeń. Udane wykorzystanie może pozwolić nieuwierzytelnionemu atakującemu na wykonanie uprzywilejowanych operacji i uzyskanie pełnej kontroli nad urządzeniem.
Oryginalny opis (angielski, źródło NVD)
Certain web interface components in affected TP-Link Aginet devices do not validate and sanitize user-supplied input properly before passing it to system-level command execution functions. An authenticated adjacent attacker may inject specially crafted input to execute arbitrary operation system commands with elevated privileges. Successful exploitation may allow execution of arbitrary system commands, potentially leading to full device compromise.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS