CVE-2023-39780: Injection comando OS in ASUS RT-AX55

CVE-2023-39780 identifica una vulnerabilità di OS command injection in ASUS RT-AX55 3.0.0.4.386.51598 via il parametro qos_bw_rulelist in /start_apply.htm. Un attaccante autenticato può eseguire comandi di sistema arbitrari, compromettendo il dispositivo di rete.

La vulnerabilità ha un punteggio CVSS di 8,8, classificata come HIGH severity. La falla richiede autenticazione dell'attaccante, il che riduce leggermente il vettore d'attacco rispetto a una vulnerabilità senza autenticazione. Tuttavia, la pubblicazione NVD del 11 settembre 2023 è stata seguita il 30 ottobre 2026 da segnali GitHub che dichiarano la disponibilità pubblica di exploit: un indicatore critico che la vulnerabilità è attivamente interessante per attaccanti e che il rischio di sfruttamento è concreto.

I difensori devono verificare la presenza di ASUS RT-AX55 3.0.0.4.386.51598 nella rete aziendale. Contattare il supporto ASUS per il firmware di sicurezza e pianificare gli aggiornamenti dei dispositivi. Nel breve termine, limitare l'accesso autenticato ai servizi amministrativi solo a utenti e IP autorizzati. Monitorare i log di sistema e il traffico di rete verso questi dispositivi alla ricerca di tentativi di injection. Considerare il replacement dei dispositivi non più supportati.

ASUS ha rilasciato altre falle di sicurezza simili nel medesimo periodo: CVE-2023-41345 (token-generated module), CVE-2023-41346 (token-refresh module), CVE-2023-41347 (check token module) e CVE-2023-41348 (code-authentication module). Questo cluster di vulnerabilità suggerisce un problema più ampio nella base di codice della linea RT-AX55 e richiede una revisione completa dei meccanismi di validazione dei parametri e delle funzioni di autenticazione.