CVE-2020-8958: RCE su ONU Guangzhou via Ping

Il CVE-2020-8958 è una vulnerabilità di iniezione di comandi OS che colpisce i dispositivi ONU (Optical Network Unit) Guangzhou serie V2801RW e V2804RGW. L'iniezione avviene tramite shell metacharacters nel campo Dest IP Address della console web boaform/admin/formPing. Un attaccante remoto può eseguire comandi arbitrari con i privilegi del dispositivo, compromettendo completamente le reti di accesso che ne dipendono.

La vulnerabilità ha CVSS 7,2 (fascia HIGH). È stata descritta ufficialmente il 15 luglio 2020 e riguarda tutte le versioni dalla 1.9.1-181203 alla 2.9.0-181024 di entrambi i modelli. Un segnale GitHub recente (30 ottobre 2026) segnala l'esistenza di repository pubblici che dichiarano di contenere exploit, indicando che la minaccia rimane attuale nonostante i 6 anni dalla scoperta.

In difesa: verificate quali versioni dei dispositivi Guangzhou sono in produzione; limitate l'accesso alla console amministrativa web (porta di ingresso della falla) a indirizzi IP fidati; monitorate i log di accesso a boaform/admin per tentativi insoliti o parametri Ping anomali; contattate immediatamente il vendor Guangzhou per verificare disponibilità di patch oltre la versione 2.9.0-181024. Se aggiornamenti non sono disponibili, valutate di isolare questi dispositivi da reti critiche o di sostituirli.