Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Aktif istismar
  • CWE-78

CVE-2018-14558

Tenda AC7, AC9 ve AC10 yönlendiricilerde işletim sistemi komut enjeksiyonu

Tenda AC7, AC9, and AC10 Routers

Kritik 9,8 CVSS 3.1
Yayımlandı
Güncellendi
22 Eki 2025
Açık yaşı
2919 gün
Kaydı açan
mitre
Saldırılarda kullanılıyor CISA, bu açığın gerçek saldırılarda kullanıldığını doğruladı ve 3 Kas 2021 tarihinde KEV listesine ekledi. ABD kamu kurumlarına verilen son yama tarihi: 3 May 2022.

Yönetici özeti

Etkilenen Tenda yönlendiriciler uzaktan, şifresiz ve kolayca ele geçirilebiliyor; açığın gerçek saldırılarda kullanıldığı biliniyor. Ele geçirilen cihaz üzerinden ağ trafiği izlenebilir veya ağ saldırılar için kullanılabilir. Etkilenen cihazların hızla güncellenmesi ya da erişime kapatılması gerekir.

ÖzetTürkçe

Tenda AC7 (V15.03.06.44_CN'e kadar), AC9 (V15.03.05.19(6318)_CN'e kadar) ve AC10 (V15.03.06.23_CN'e kadar) üretici yazılımlarında komut enjeksiyonu açığı bulunuyor. işlevi, güvenilmeyen girdiyi doğrudan işlevine aktarıyor. Saldırgan, hazırlanmış bir isteğiyle kimlik doğrulaması olmadan ağ üzerinden işletim sistemi komutları çalıştırabiliyor. Açık, CISA'nın bilinen istismar edilen açıklar (KEV) listesinde yer alıyor.

Saldırgan ne yapabilir?

Saldırgan, yönlendirici üzerinde yetkisiz biçimde keyfi işletim sistemi komutları çalıştırarak cihazın tam denetimini ele geçirebilir. Bu durum trafiğin izlenmesine, ayarların değiştirilmesine ve cihazın saldırı altyapısı olarak kullanılmasına yol açabilir.

Kaynaktaki açıklama (İngilizce)

An issue was discovered on Tenda AC7 devices with firmware through V15.03.06.44_CN(AC7), AC9 devices with firmware through V15.03.05.19(6318)_CN(AC9), and AC10 devices with firmware through V15.03.06.23_CN(AC10). A command Injection vulnerability allows attackers to execute arbitrary OS commands via a crafted goform/setUsbUnload request. This occurs because the "formsetUsbUnload" function executes a dosystemCmd function with untrusted input.

CISA'nın önerdiği eylem (İngilizce)

Apply updates per vendor instructions.

Ne yapmalı?

  1. Üreticinin yayımladığı güncellemeleri uygulayın; etkilenen AC7, AC9 ve AC10 cihazlarındaki üretici yazılımını belirtilen sürümlerden daha yeni, düzeltilmiş bir sürüme yükseltin. Genel öneri
  2. CISA'nın gerekli eylemi doğrultusunda güncellemeleri üreticinin talimatlarına göre uygulayın. CISA
  3. Düzeltilmiş bir sürüm bulunamıyorsa cihazın yönetim arayüzünü internetten erişime kapatın ve yalnızca güvenilir yerel ağdan erişilebilir olmasını sağlayın. Genel öneri
  4. Güncelleme mümkün değilse ve cihaz destek kapsamı dışındaysa yönlendiriciyi desteklenen bir modelle değiştirmeyi planlayın. Genel öneri

Ek önlemler

  • Yönlendiricilerin yönetim arayüzünü WAN tarafından erişime açmayın; uzaktan yönetimi kapatın. Genel öneri
  • Cihazlarda bilinmeyen ayar değişikliklerini, beklenmedik süreçleri ve olağan dışı giden bağlantıları düzenli olarak denetleyin. Genel öneri
  • Ele geçirildiğinden şüphelenilen cihazı fabrika ayarlarına döndürüp güncelledikten sonra yönetici parolalarını değiştirin. Genel öneri
  • Yönlendiricileri kritik sistemlerin bulunduğu ağlardan ayırarak ağ bölümlendirmesi uygulayın. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
Tenda AC7, AC9, and AC10 Routers Sürüm belirtilmemiş –

Kaynaklar3 kaynak

Kayıt geçmişi

  1. CISA KEV listesine eklendi (saldırılarda kullanılıyor)
  2. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.