یک آسیب‌پذیری امنیتی بحرانی با شناسه CVE-2026-105110 در تجهیزات Iskratel Innbox GPON ONT شناسایی شده است که به مهاجمان اجازه می‌دهد بدون نیاز به احراز هویت و بدون تعامل کاربر، دستورات دلخواه را با دسترسی root روی سیستم‌عامل دستگاه اجرا کنند.
جزئیات فنی
این نقص امنیتی از نوع OS Command Injection (تزریق دستورات سیستم‌عامل) است و در نقطه انتهایی (Endpoint) مربوط به login.xgi در CGI این تجهیزات رخ می‌دهد. مهاجمان از طریق ارسال کاراکترهای خاص (Shell Metacharacters) در پارامتر CLI، می‌توانند دستورات سیستمی را به صورت از راه دور اجرا نمایند.
تاثیرات امنیتی
با توجه به امتیاز CVSS 4.0 برابر با 9.3، این آسیب‌پذیری منجر به به خطر افتادن کامل سه رکن اصلی امنیت داده‌ها می‌شود:
- محرمانگی (Confidentiality): دسترسی کامل به داده‌های حساس دستگاه.
- یکپارچگی (Integrity): امکان تغییر تنظیمات و دستکاری سیستم.
- در دسترس بودن (Availability): توانایی از کار انداختن کامل سرویس‌های دستگاه.
این نقص به دلیل عدم نیاز به احراز هویت (Unauthenticated) و پیچیدگی پایین حمله (Low Complexity)، ریسک بسیار بالایی برای سازمان‌هایی که از این تجهیزات در لبه شبکه استفاده می‌کنند، ایجاد می‌کند.
توصیه‌های اصلاحی و مقابله
برای کاهش ریسک و مقابله با این تهدید، اقدامات زیر توصیه می‌شود:
- شناسایی تجهیزات: تمامی دستگاه‌های Iskratel Innbox GPON ONT موجود در شبکه را شناسایی کرده و بررسی کنید که آیا رابط مدیریت وب (Web Management Interface) در معرض اینترنت یا شبکه‌های غیرقابل اعتماد قرار دارد یا خیر.
- مسدودسازی پورت‌ها: دسترسی‌های ورودی روی پورت‌های TCP 80 و TCP 443 و سایر پورت‌های مدیریتی را در لبه شبکه (WAN edge) و مرز شبکه دسترسی ISP مسدود کنید.
- غیرفعال‌سازی مدیریت از راه دور: قابلیت مدیریت وب از سمت WAN (Remote WAN-side web management) و همچنین Remote HTTP Provisioning را در تمامی واحدهایی که نیاز عملیاتی ندارند، غیرفعال نمایید.
