Podatności Linksys E1200 v2

Podatność na wstrzykiwanie poleceń bez uwierzytelniania w funkcji Start_EPI w pliku httpd na routerach Linksys E1200 v2 (firmware E1200_v2.0.11.001_us.tar.gz). Parametry CGI (wl_ant, wl_ssid, wl_rate, ttcp_num, ttcp_ip, ttcp_size) są łączone z poleceniami systemowymi bez odpowiedniego oczyszczania i wykonywane przez wl_exec_cmd.

W routerze Linksys E1200 w wersji oprogramowania 1.0.04 wykryto podatność na przepełnienie bufora w funkcji ej_get_web_page_name. Atakujący może wykorzystać ten błąd do zdalnego wykonania kodu lub spowodowania awarii urządzenia.

W routerze Linksys E1200 v2 z oprogramowaniem E1200_v2.0.11.001_us.tar.gz wykryto przepełnienie bufora stosu w funkcji get_merge_mac pliku httpd. Funkcja ta łączy do sześciu parametrów CGI dostarczonych przez użytkownika (<parameter>_0~5) w bufor o stałym rozmiarze (a2) bez odpowiedniego sprawdzania granic, dodając dwukropki jako separatory. Zdalny atakujący może wykorzystać tę podatność poprzez specjalnie spreparowane żądania HTTP do wykonania dowolnego kodu lub spowodowania odmowy usługi bez uwierzytelnienia.

W routerach Linksys E1200 v2 z oprogramowaniem E1200_v2.0.11.001_us.tar.gz wykryto przepełnienie bufora stosu w pliku binarnym httpd. Funkcje apply_cgi i block_cgi kopiują dane wejściowe użytkownika z parametru CGI „url” do buforów stosu (v36, v29) za pomocą sprintf bez sprawdzania granic. Ponieważ bufory te są alokowane jako zmienne jednobajtowe, każdy niepusty input powoduje przepełnienie.

W routerach Linksys E1200 v2 z oprogramowaniem E1200_v2.0.11.001_us.tar.gz występuje przepełnienie bufora stosu w funkcji get_merge_ipaddr pliku httpd. Funkcja łączy do czterech parametrów CGI dostarczonych przez użytkownika (<parameter>_0~3) w bufor o stałym rozmiarze (a2) bez sprawdzania granic, co umożliwia zdalnemu atakującemu wykonanie dowolnego kodu lub wywołanie odmowy usługi bez uwierzytelnienia.