CVE-2023-31983

Esta es una toma de control clásica de router embebido: la función mp dentro de /bin/webs en el Edimax BR-6428NS pasa entrada controlada por el atacante a un intérprete de comandos con, en palabras del aviso, ninguna limitación. Una solicitud no autenticada a través de la red se convierte en ejecución de comandos arbitrarios en el dispositivo, ejecutándose como el propio proceso de firmware con privilegios altos del router. Quien envíe la solicitud es dueño de la puerta de enlace.

Los fallos con esta forma exacta —inyección de comandos no autenticada en la interfaz web de un router SOHO— son el alimento básico de las botnets tipo Mirai. Se incorporan rápido a escáneres automatizados, se lanzan de forma indiscriminada contra todo dispositivo accesible, y un router comprometido se convierte en un nodo de DDoS, un punto de interceptación de tráfico o un punto de apoyo hacia la LAN que hay detrás. Los routers de consumo como este también suelen estar más allá de su fin de vida útil, así que puede que sencillamente no exista una corrección.

Nuestro énfasis es la exposición a internet y el ciclo de vida. La pregunta más importante es si algún BR-6428NS presenta su interfaz web al lado WAN, porque ahí es donde miran las botnets. Dada la antigüedad de este hardware, planificamos en torno a su reemplazo en lugar del parcheo, y donde uno de estos sigue enrutando tráfico, lo tratamos como infraestructura propensa al compromiso que debe ser retirada, no mantenida.