Maximaler Schweregrad: Gaming-Router von TP-Link anfällig für Schadcodeausführung
Sicherheitsforscher von Onekey haben eine Schwachstelle in dem weitverbreiteten Gaming-Router TP-Link Archer C5400X (AC5400) aufgedeckt. Damit ist es Angreifern möglich, auf anfälligen Geräten aus der Ferne und ohne jegliche Nutzerinteraktion oder Authentifizierung Schadcode mit Root-Rechten auszuführen (RCE). Die Sicherheitslücke ist als CVE-2024-5035(öffnet im neuen Fenster) registriert und mit einem maximal möglichen CVSS-Wert von 10 als kritisch eingestuft.
Die Entdecker der Schwachstelle haben einen Blogbeitrag veröffentlicht(öffnet im neuen Fenster) , in dem sie weiter ins Detail gehen. Das Forscherteam konnte die Sicherheitslücke demnach in einem Tool ausfindig machen, mit dem der TP-Link-Router einen Selbsttest seiner drahtlosen Schnittstellen durchführt. Bereitgestellt wird dieses Tool über eine Binärdatei namens rftest.
Der zugehörige Prozess wird unmittelbar nach dem Bootvorgang gestartet. Durch den Start von rftest wird das Gerät anfällig für Befehlsinjektionen und Pufferüberläufe auf den TCP-Ports 8888, 8889 und 8890. Angreifer können über das Netzwerk Befehle mit Root-Rechten ausführen, indem sie spezielle Shell-Meta-Zeichen voranstellen. Entsprechende Angriffe sind nach Angaben der Forscher über die LAN-Schnittstelle möglich.
Gepatchte Firmware verfügbar
Anfällig für CVE-2024-5035 sind alle Firmware-Versionen des TP-Link Archer C5400X V1 bis einschließlich 1.1.6. Der Hersteller hat am 24. Mai mit Version 1.1.7 einen Patch bereitgestellt(öffnet im neuen Fenster) . Details nennt das Unternehmen dabei allerdings nicht - im Support-Bereich des Routers heißt es lediglich, das Firmware-Update sorge für eine "erhöhte Systemsicherheit und -stabilität" . Nach Angaben der Onekey-Forscher hat TP-Link das Problem dadurch gelöst, dass die neue Firmware sämtliche Befehle verwirft, die die für einen Angriff erforderlichen Shell-Meta-Zeichen enthalten.
Schwachstellen wie CVE-2024-5035 ermöglichen es Angreifern, anfällige Router in Botnetze zu integrieren, um darüber Cyberangriffe auf verschiedene Ziele im Internet durchzuführen. Außerdem kann ein infiltrierter Router missbraucht werden, um von dort aus weitere Geräte im internen Netzwerk des Besitzers zu attackieren oder den Netzwerkverkehr abzufangen oder umzuleiten.
Wer einen TP-Link Archer C5400X besitzt, sollte vor diesem Hintergrund möglichst zeitnah auf die neueste Firmware aktualisieren.