CVE-2025-10963

چکیده

آسیب‌پذیری در Wavlink NU516U1 نسخه فریم ور M16U1_V240425، به دلیل تزریق فرمان (Command Injection) در تابع sub_4016F0 فایل /cgi-bin/firewall.cgiاست که برای مهاجمان احراز هویت‌شده امکان اجرای دستورات دلخواه را فراهم می‌کند.

توضیحات

آسیب‌پذیری CVE-2025-10963 در Wavlink NU516U1، ناشی از عدم پاک‌سازی مناسب (sanitization) پارامتر del_flag در تابع sub_4016F0 فایل /cgi-bin/firewall.cgi است که مطابق با CWE-77 و CWE-74 طبقه‌بندی می‌شود. این ضعف در نسخه فریم ور M16U1_V240425 وجود دارد و به مهاجمان احراز هویت‌شده اجازه می‌دهد با دستکاری پارامتر del_flag، دستورات سیستم را اجرا کنند.

در این دستگاه، تابع ftext پارامتر firewall را از ورودی کاربر دریافت می‌کند. اگر مقدار firewall=singlePortForwardDelete باشد، تابع sub_4016F0 فراخوانی شده و پارامتر del_flag از یک درخواست POST (HTTP پروتکلی برای ارسال داده از کلاینت به سرور) دریافت می‌شود. سپس مقدار del_flag با sprintf به متغیر v4 متصل شده، به sub_402C98 فرستاده می‌شود و در نهایت بدون اعتبارسنجی‌ به system() منتقل می گردد. مهاجم می‌تواند با تزریق کاراکترهای خاص دستورات دلخواه را روی سیستم اجرا کند. این آسیب‌پذیری از طریق شبکه با پیچیدگی پایین و نیاز به احراز هویت قابل بهره‌برداری است و نیازی به تعامل کاربر ندارد. پیامدهای آن شامل نقض محدود محرمانگی با دسترسی به داده‌های حساس، یکپارچگی با تغییر تنظیمات فایروال و در دسترس‌پذیری با ایجاد اختلال است.

کد اثباتِ مفهومی (PoC) یک درخواست POST به /cgi-bin/firewall.cgi ارسال می‌کند که در بدنه آن firewall=singlePortForwardDelete&del_flag=$(ls>/6.txt) قرار دارد. مقدار del_flag حاوی یک عبارت شل است که در سیستم‌های آسیب‌پذیر اجرا شده و خروجی دستور را در فایلی مانند 6.txt ثبت می‌کند. تاکنون پچ رسمی منتشر نشده و شرکت Wavlink به گزارش اولیه پاسخی نداده است.

CVSS

 لیست محصولات آسیب پذیر

 استفاده محصول در ایران

در این جدول، تعداد صفحات ایندکس‌شده در گوگل با دامنه .ir که Wavlink NU516U1را ذکر کرده اند، ثبت شده است. این داده صرفاً برای برآورد تقریبی حضور محصولات در وب ایران استفاده شده و نمایانگر میزان نصب دقیق و استفاده واقعی نیست.

 نتیجه گیری

این آسیب‌پذیری در Wavlink NU516U1، به دلیل تزریق فرمان در firewall.cgi، می‌تواند منجر به اجرای دستورات دلخواه، دسترسی به فایل‌های حساس یا حتی کنترل کامل دستگاه شود. با توجه به عدم انتشار پچ، اجرای فوری اقدامات زیر ضروری است:

• به‌روزرسانی فریم ور: وب‌سایت رسمی Wavlink را برای دریافت فریم ور جدید بررسی کرده و به محض انتشار بلافاصله آن را نصب کنید.
• اعتبارسنجی ورودی‌ها: در صورت امکان، از پروکسی یا فایروال برای فیلتر کردن درخواست‌های POST به //cgi-bin/firewall.cgi استفاده کرده و ورودی پارامتر del_flag فیلتر یا اعتبارسنجی نمایید.
• محدودسازی دسترسی شبکه: دسترسی از راه دور به روتر را غیرفعال کرده، از VPN برای مدیریت استفاده کنید و پورت‌های HTTP/HTTPS را فقط برای IPهای مجاز باز نمایید.
• نظارت بر ترافیک: لاگ‌های روتر را برای شناسایی درخواست‌های مشکوک با del_flag مخرب بررسی کرده و از ابزارهای IDS/IPS برای تشخیص تزریق فرمان بهره ببرید.
• تغییر تنظیمات پیش‌فرض: رمز عبور پیش‌فرض را تغییر دهید، در صورت غیر ضروری بودن ویژگی firewall آن را غیرفعال کنید و از پروتکل‌های امن برای دسترسی به روتر استفاده نمایید.
• جایگزینی دستگاه: در صورت عدم انتشار پچ، روتر را با مدل‌های جدیدتر و امن‌تر جایگزین کنید.
• آموزش کاربران: مدیران شبکه را در مورد ریسک command injection در روترهای Wavlink آگاه کنید.

اجرای این اقدامات، ریسک تزریق فرمان (command injection) را به حداقل رسانده و تا زمان انتشار پچ رسمی، سطح امنیت روتر Wavlink NU516U1 را بهبود می بخشد.

امکان استفاده در تاکتیک های Mitre Attack

Initial Access (TA0001)
در این مورد ورود اولیه از طریق رابط مدیریتی وب‌روتر اتفاق می‌افته: مهاجم با حساب مدیریتی (یا اکانت ضعیف/پیش‌فرض) که به پنل web-admin دسترسی داره وارد می‌شه و endpoint آسیب‌پذیر /cgi-bin/firewall.cgi رو هدف خواهد گرفت

Execution (TA0002)
ورودی کاربر (del_flag) پس از قرار گرفتن در sprint مستقیماً به system() پاس میشود، بنابراین هر payload که حاوی دستور شل باشه، روی دستگاه اجرا می‌گردد.

Persistence (TA0003)
پس از اجرای موفق، مهاجم می‌تونه با تغییر فایل‌های پیکربندی یا اضافه‌کردن دستورات به مکان‌های استارتاپ مثل اسکریپت‌های boot یا تنظیمات ماندگاردسترسی بلندمدت ایجاد کند

Privilege Escalation (TA0004)
اگر اجرای دستور با دسترسی محدود رخ دهد، مهاجم می‌تواند با اجرای دستورات محلی یا exploit های ثانویه سطح دسترسی را بالا ببرد یا با تغییر تنظیمات مدیریتی حقایق بیشتری کسب کند

Defense Evasion (TA0005)
مهاجم می‌تواند لاگ‌ها را پاک یا دستکاری کند و با تغییر پارامترهای مدیریتی رفتارهای مخرب را پنهان نماید، یا خروجی‌ها را به کانال‌های معتبر بفرستد تا تشخیص دشوار شود

Credential Access (TA0006)
اجرای دستورات می‌تواند به خواندن فایل‌های پیکربندی یا متغیرهای محیطی منجر شود و توکن‌ها/پسوردهای ذخیره‌شده را استخراج کند

Discovery (TA0007)
کد مخرب می‌تواند فایل‌سیستم، تنظیمات فایروال و لیست port-forwardingها را اسکن کند تا اهداف بعدی و مسیرهای حرکت جانبی را شناسایی نماید

Lateral Movement (TA0008)
کنترل روتر یا تغییر پیکربندی شبکه به مهاجم اجازه می‌دهد مسیرهای جدیدی برای دسترسی به سایر دستگاه‌ها بسازد یا از اعتبارهای به‌دست‌آمده برای ورود به سرویس‌های دیگر استفاده کند

Collection (TA0009)
مهاجم به‌صورت محلی فایل‌های پیکربندی، لاگ‌ها و هر اطلاعات حساس موجود روی دستگاه را جمع‌آوری و برای ارسال آماده می‌کند

Command & Control (TA0011)
در صورت ماندگاری، مهاجم ممکن است روتر را به عنوان نقطه فرمان‌دهی استفاده کند

Impact (TA0040)
پیامد فنی نهایی شامل افشای داده‌ها، دستکاری یا حذف پیکربندی‌های شبکه و ایجاد قطع یا اختلال در سرویس‌های شبکه‌ای می‌شود که هم محرمانگی، هم یکپارچگی و هم در دسترس‌پذیری را تهدید می‌کند

منابع

1. https://www.cve.org/CVERecord?id=CVE-2025-10963
2. https://www.cvedetails.com/cve/CVE-2025-10963/
3. https://vulmon.com/vulnerabilitydetails?qid=CVE-2025-10963
4. https://vuldb.com/?submit.652784
5. https://vuldb.com/?id.325831
6. https://vuldb.com/?ctiid.325831
7. https://github.com/panda666-888/vuls/blob/main/wavlink/nu516u1/singlePortForwardDelete.md
8. https://github.com/panda666-888/vuls/blob/main/wavlink/nu516u1/singlePortForwardDelete.md#poc
9. https://nvd.nist.gov/vuln/detail/CVE-2025-10963
10. https://cwe.mitre.org/data/definitions/77.html
11. https://cwe.mitre.org/data/definitions/74.html