CVE-2023-6304

O Tecno 4G Portable WiFi TR118 tem uma injeção de comandos de SO em sua Ping Tool: o argumento url para /goform/goform_get_cmd_process alcança um shell sem sanitização, então um valor forjado roda comandos de sistema arbitrários no dispositivo. Isso é execução completa de comandos em um roteador portátil, e um exploit público (VDB-246130) existe — embora o vetor marque o caminho como exigindo altos privilégios, e o fornecedor, conforme a divulgação, nunca tenha respondido.

A barreira de privilégio e a classe do dispositivo juntas moldam um modelo de ameaça específico. Este é um recurso de diagnóstico normalmente por trás da interface de administração, então o abusador é alguém que já tem acesso elevado — ou que primeiro venceu o login — usando o campo de ping para escapar rumo ao SO. O silêncio do fornecedor é o problema maior de longo prazo: nenhuma confirmação sugere fortemente nenhuma correção, então a exposição é provavelmente permanente para quem quer que rode este hardware.

Classificamos a injeção imediata abaixo dos RCEs de roteador não autenticados por causa do requisito de alto privilégio, mas ponderamos fortemente a realidade de ausência de correção. Nossa postura prática é restringir quem pode alcançar a interface de administração e, dado o sinal de suporte abandonado, planejar a substituição em vez da remediação. Um roteador portátil cujo fornecedor não responde é um dispositivo a aposentar, não a depender de uma correção.