当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2015-0129067

漏洞标题：小米路由器管理页面任意命令执行能够拿到系统控制权

相关厂商：小米科技

漏洞作者： 三尺

提交时间：2015-07-24 22:18

修复时间：2015-10-26 21:00

公开时间：2015-10-26 21:00

漏洞类型：命令执行

危害等级：高

自评Rank：15

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2015-07-24： 细节已通知厂商并且等待厂商处理中
2015-07-28： 厂商已经确认，细节仅向厂商公开
2015-07-31： 细节向第三方安全合作伙伴开放
2015-09-21： 细节向核心白帽子及相关领域专家公开
2015-10-01： 细节向普通白帽子公开
2015-10-11： 细节向实习白帽子公开
2015-10-26： 细节向公众公开

简要描述：

小米路由器管理页面任意命令执行，能够拿到系统控制权

详细说明：

路由器有pppd进程如下：

/usr/sbin/pppd nodetach ipparam wan ifname pppoe-wan nodefaultroute usepeerdns persist maxfail 1 user ******* password ******* ip-up-script /lib/netifd/ppp-up ipv6-up-script /lib/netifd/ppp-up ip-down-scri


这是拨号用的pppd，另外还有pptp和l2tp的pppd可以以同样的方法利用。
进程有如下参数：user ******* password *******
这是拨号的帐号和密码，*号是可控制内容，就是管理页面上输入的帐号和密码。
这是vpn的配置文件：

config vpn '7bd143a3f559d84685a510e7ba1ff6e2'
	option username 'test'
	option oname 'test'
	option id '7bd143a3f559d84685a510e7ba1ff6e2'
	option proto 'pptp'
	option password 'test'
	option server 'test'


其中的username password server会拼接到pppd进程参数里。
由于管理页面对输入的帐号密码没有过滤，这会导致任意命令执行。

漏洞证明：

在PPPOE拨号处，或者vpn拨号处帐号或者密码框里填写以下内容：

' `reboot` '


会导致路由器重启。

修复方案：

过滤输入内容，或者将帐号密码参数放到pppd file里。

版权声明：转载请注明来源 三尺@乌云

漏洞回应

厂商回应：

危害等级：中

漏洞Rank：9

确认时间：2015-07-28 20:58

厂商回复：

漏洞确认，但漏洞成因不是文中分析的原因，影响范围是最近的R1D和R2D的开发版。感谢您对小米安全的关注，我们会尽快修复！

最新状态：

2015-07-29：抱歉，上一个稳定版也受到影响，预计在本周四发布稳定版的升级。谢谢~

漏洞评价：

评论

  1. 2015-07-25 00:15 | mango ( 核心白帽子 | Rank:1708 漏洞数:251 | 我有个2b女友！)

    666666666666666666

  2. 2015-07-25 10:58 | 乌云首席鉴黄师 ( 普通白帽子 | Rank:199 漏洞数:69 | 妈妈，我要上电视)

    小编看这里！！！

  3. 2015-07-25 11:36 | 大师兄 ( 路人 | Rank:14 漏洞数:6 | 每日必关注乌云)

    @乌云首席鉴黄师 小编说，我过去，保证不谈涉黄的...

  4. 2015-07-25 12:04 | 乌云首席鉴黄师 ( 普通白帽子 | Rank:199 漏洞数:69 | 妈妈，我要上电视)

    @大师兄 哈哈哈啊哈

  5. 2015-07-28 10:33 | 疯狗 认证白帽子 ( 实习白帽子 | Rank:44 漏洞数:2 | 阅尽天下漏洞，心中自然无码。)

    这个是固件什么版本才能触发的？

  6. 2015-07-28 14:47 | 三尺 ( 路人 | Rank:9 漏洞数:1 | 只暖脚边三尺地)

    @疯狗 前后几个版本吧，没有详细测试过。

  7. 2015-07-28 21:02 | xsser 认证白帽子 ( 普通白帽子 | Rank:254 漏洞数:18 | 当我又回首一切,这个世界会好吗?)

    漏洞确认，但漏洞成因不是文中分析的原因

  8. 2015-07-29 08:24 | 白无常 ( 实习白帽子 | Rank:55 漏洞数:7 )

    @疯狗 我问一下，如果漏洞厂商没确认我能得到rank吗？还有你的v咋弄的

  9. 2015-07-29 09:01 | mango ( 核心白帽子 | Rank:1708 漏洞数:251 | 我有个2b女友！)

    @白无常 ....... - -V 是官方人员 和核心 才有的

  10. 2015-07-29 14:46 | 疯狗 认证白帽子 ( 实习白帽子 | Rank:44 漏洞数:2 | 阅尽天下漏洞，心中自然无码。)

    @白无常 也可以得到rank的，企业无情，乌云有情。（那个V是实名制＋优秀漏洞洞主等奇怪算法颁发的）

  11. 2015-07-29 16:01 | 白无常 ( 实习白帽子 | Rank:55 漏洞数:7 )

    @疯狗 其实有时候看漏洞下面的评论也是种乐趣，哈哈。对了，我咋联系乌云小秘书啊，我买了个插座不知道啥时候发货

  12. 2015-07-29 18:51 | 三尺 ( 路人 | Rank:9 漏洞数:1 | 只暖脚边三尺地)

    不是文中分析的原因。。。。看来我的智商有问题，点点点点点点点点点

  13. 2015-07-30 01:05 | 三尺 ( 路人 | Rank:9 漏洞数:1 | 只暖脚边三尺地)

    我的错，貌似真的分析错了，是另一处的原因

  14. 2015-10-23 11:21 | 大漠長河 ( 实习白帽子 | Rank:64 漏洞数:9 | ̷̸̨̀͒̏̃ͦ̈́̾( 漏洞不审不开心，...)

    小米很负责任呀，小米路由是我用的最长命的路由。估计不会给我带来赏金了

  15. 2015-10-27 15:04 | 八戒 ( 路人 | Rank:17 漏洞数:3 | ~~鬼畜之王~~)

    ( 支付乌云币6个可以永久查看测试代码区域,wb归洞主所有【确定支付6wb并查看】 )

  16. 2015-10-27 15:28 | 大师兄 ( 路人 | Rank:14 漏洞数:6 | 每日必关注乌云)

    @八戒 - - ！醉！算不算有缘？

  17. 2015-10-28 09:56 | 八戒 ( 路人 | Rank:17 漏洞数:3 | ~~鬼畜之王~~)

    @大师兄 猴哥，求带T-T