שני עמודים קטנים בממשק הניהול של נתבי Linksys מסדרת E, בכתובות /tmUnblock.cgi ו-/hndUnblock.cgi, מקבלים מהרשת כתובת IP ומעבירים אותה הלאה בלי לבדוק מה בדיוק נשלח. תוקף שכותב שם פקודה במקום כתובת מצליח להריץ אותה על הנתב, בלי שם משתמש ובלי סיסמה. החולשה קיבלה את הציון המלא, 10 מתוך 10.

מה החולשה?

בתוך הנתב רצים סקריפטים קטנים שמייצרים את עמודי ממשק הניהול ומבצעים את הפעולות שמבקשים מהם. הסקריפטים האלה, מסוג CGI, מקבלים את מה שנשלח אליהם בטופס ומשתמשים בתוכן. שניים מהם, tmUnblock.cgi ו-hndUnblock.cgi, עונים ב-HTTP על פורט 8080 ומקבלים פרמטר בשם ttcp_ip שאמור להכיל כתובת IP.

הבעיה היא מה שקורה לתוכן הזה אחר כך. הסקריפט אינו מסנן אותו ומעביר אותו הלאה אל שורת הפקודה של מערכת ההפעלה של הנתב. מי ששולח במקום כתובת IP מחרוזת שמכילה פקודה גורם לנתב להריץ אותה. השם המקצועי למצב הזה הוא OS command injection, הזרקת פקודות למערכת ההפעלה.

לפי התיאור ב-NVD, כך פעלה התולעת שנקראה TheMoon בשנת 2014: היא ניצלה את החולשה כדי להשתיל על הנתב קובץ הרצה מסוג MIPS ELF, כלומר קוד שהודר לסוג המעבד שיש בנתבים האלה, ומשם הריצה עליו את מה שרצתה.

מי מושפע?

הרשומה מדברת על דגמים שונים בסדרת E של Linksys, ומוסיפה שהחולשה עשויה לנגוע גם למוצרי Linksys אחרים, ובהם דגמים מסדרות WAG, WAP, WES, WET ו-WRT ונקודות גישה ונתבים מסוג Wireless-N. רשימת דגמים מדויקת עם גרסאות קושחה אינה מופיעה ברשומה, וגם זה חלק מהתשובה: מדובר בציוד ותיק שהניצול שלו מתועד כבר מ-2014.

בישראל מדובר בנתבים שנקנו בחנות ולא בציוד שספק האינטרנט מתקין בבית. נתב Linksys מסדרת E שעדיין עובד, או שמשמש כנקודת גישה נוספת בקצה הדירה או במשרד, הוא המקרה הרלוונטי כאן. נתב שהגיע מהספק בשנים האחרונות כנראה אינו מהרשימה.

האם מנוצלת בפועל?

החולשה אינה מופיעה בקטלוג ה-KEV של CISA, הרשימה שבה הסוכנות האמריקאית מרכזת חולשות שנאספה עליהן ראיה לניצול בשטח. זה לא אומר שהיא לא נוצלה, ובמקרה הזה הרשומה עצמה אומרת את ההפוך.

בתיאור ב-NVD מופיעים שני אירועים. הראשון הוא התולעת TheMoon, שלפי הדיווחים ניצלה את החולשה ב-2014. השני מאוחר בהרבה: לפי Shadowserver Foundation, ארגון שמנטר סריקות ותקיפות באינטרנט, נצפו סימני ניצול ב-6 בפברואר 2025. הרשומה עצמה פורסמה ב-NVD רק ביוני 2025, כלומר אחרי שתועדו שני המועדים האלה.

חולשה בת אחת עשרה שנים שמישהו עוד טורח לנצל מעידה על כך שנשאר מה לנצל.

מה עושים?

הרשומה אינה מציינת גרסת קושחה שסוגרת את החולשה, ולכן הצעד הראשון אינו עדכון אלא צמצום החשיפה. התקיפה מגיעה ב-HTTP על פורט 8080, ולכן בדקו בממשק הנתב שאין ניהול מרחוק מופעל ושאין הפניית פורטים שמעבירה את פורט 8080 מהאינטרנט אל הנתב. נתב שאינו עונה מהאינטרנט אינו נגיש לסורקים שמחפשים בדיוק את הכתובות האלה.

אחר כך בדקו את הדגם, שרשום במדבקה בתחתית הנתב, מול הסדרות שברשימה: E, ולצידה WAG, WAP, WES, WET, WRT ודגמי Wireless-N. ההתראה של VulnCheck מרחיבה על הדגמים ועל אופן הניצול, והיומן של SANS הוא התיעוד המקורי של TheMoon משנת 2014.

ואם הדגם שלכם ברשימה, ההחלטה המעשית היא להחליף את הנתב. הניצול שלו מתועד למעלה מעשר שנים ואין ברשומה קושחה מתוקנת, כך שאין כאן עדכון שמחכה שתתקינו אותו. עד להחלפה, ניתוק ממשק הניהול מגישה מהאינטרנט הוא ההגנה היחידה שבאמת עומדת.