CVE-2025-34037
NONE- EPSS 93% — sehr wahrscheinlich ausgenutzt
Erwähnungen (letzte 60 Tage)
EPSS-Score
92.8%
Exploit-Wahrscheinlichkeit (30 Tage)
SecBoard-Einordnung
CVE-2025-34037 beschreibt eine OS Command Injection Schwachstelle in verschiedenen Linksys E-Series Routern. Über die Endpunkte /tmUnblock.cgi und /hndUnblock.cgi auf Port 8080 können nicht authentifizierte Angreifer Shell-Befehle injizieren, da die CGI-Skripte Benutzereingaben im ttcp_ip-Parameter nicht ordnungsgemäß bereinigen. Dies ermöglicht die Ausführung beliebigen Codes auf dem Router und wurde bereits vom 'TheMoon'-Wurm ausgenutzt, um MIPS ELF-Payloads zu verteilen.
Die Schwachstelle weist eine hohe Exploit-Wahrscheinlichkeit von 91% (EPSS) auf und wurde bereits 2014 aktiv ausgenutzt, wie die Shadowserver Foundation am 06.02.2025 bestätigte. Obwohl kein CVSS-Wert vorliegt, deutet die aktive Ausnutzung und die hohe EPSS-Bewertung auf eine kritische Bedrohung hin. Es wird vermutet, dass auch andere Linksys-Produkte wie WAG/WAP/WES/WET/WRT-Serien und Wireless-N Access Points betroffen sein könnten.
Security-Teams sollten umgehend prüfen, ob betroffene Linksys E-Series Router oder potenziell andere Linksys-Produkte in ihrer Umgebung vorhanden sind. Da die Schwachstelle aktiv ausgenutzt wird, ist eine schnelle Reaktion erforderlich. Es wird empfohlen, Router, die über Port 8080 erreichbar sind, zu isolieren oder den Zugriff zu beschränken, bis Patches verfügbar sind oder alternative Mitigationen implementiert werden können. Eine Überwachung auf ungewöhnlichen Netzwerkverkehr oder Kompromittierungsindikatoren ist ebenfalls ratsam.
KI-gestützte Einordnung auf Basis der NVD-Daten.
Beschreibung
An OS command injection vulnerability exists in various models of E-Series Linksys routers via the /tmUnblock.cgi and /hndUnblock.cgi endpoints over HTTP on port 8080. The CGI scripts improperly process user-supplied input passed to the ttcp_ip parameter without sanitization, allowing unauthenticated attackers to inject shell commands. This vulnerability was reported to be exploited in the wild by the "TheMoon" worm in 2014 to deploy a MIPS ELF payload, enabling arbitrary code execution on the router. Additionally, this vulnerability may affect other Linksys products to include, but not limited to, WAG/WAP/WES/WET/WRT-series router models and Wireless-N access points and routers. Exploitation evidence was observed by the Shadowserver Foundation on 2025-02-06 UTC.