CVE-2024-9644: bypass autenticazione nei router Four-Faith F3x36

CVE-2024-9644 è un authentication bypass nei router Four-Faith F3x36 con firmware 2.0.0. La vulnerabilità risiede nell'endpoint web amministrativo 'bapply.cgi': a differenza dell'endpoint standard 'apply.cgi', esso non enforza l'autenticazione prima di accettare comandi amministrativi. Un attaccante remoto non autenticato può sfruttare questo canale alternativo per modificare impostazioni critiche del router, incluse configurazioni di rete, credenziali e routing.

Il punteggio CVSS è 9,8, fascia critical. NVD ha pubblicato la vulnerabilità il 4 febbraio 2025. Segnali pubblici su GitHub (30 ottobre 2026) indicano che repository contengono dichiarazioni di proof-of-concept, confermando l'interesse di ricercatori e potenziali attaccanti. Lo stato di patch ufficiale da Four-Faith non è riportato nei dati disponibili.

Azione immediata: se l'inventario contiene F3x36, identifica il firmware version e contatta Four-Faith per disponibilità di aggiornamento. Se patch non è disponibile, applica mitigazioni: blocca l'accesso all'endpoint bapply.cgi tramite firewall perimetrale o WAF, limita l'accesso amministrativo a indirizzi IP autorizzati, monitora i log per richieste non autenticate a endpoint amministrativi. Non assegnare funzioni critiche al router fino a patching.