Linksys E1200 z podatnością RCE: przepełnienie stosu w panelu administracyjnym routera

Wprowadzenie do problemu / definicja

Router Linksys E1200 znalazł się w centrum uwagi badaczy bezpieczeństwa po publikacji exploita opisującego podatność typu stack buffer overflow, która może prowadzić do zdalnego wykonania kodu. Problem dotyczy panelu administracyjnego urządzenia i choć wymaga wcześniejszego uwierzytelnienia, po jego spełnieniu może umożliwić pełne przejęcie kontroli nad routerem.

To szczególnie istotne zagrożenie w środowiskach domowych i małych biurach, gdzie urządzenia brzegowe często pracują przez wiele lat bez aktualizacji, segmentacji sieci i skutecznego monitorowania incydentów.

W skrócie

• Podatność dotyczy routera Linksys E1200 z firmware do wersji 2.0.04.
• Błąd został opisany jako uwierzytelnione przepełnienie bufora na stosie z możliwością zdalnego wykonania kodu.
• Wektor ataku wykorzystuje żądanie HTTP POST kierowane do komponentu apply.cgi.
• Publicznie dostępny proof-of-concept pokazuje możliwość uzyskania powłoki systemowej na urządzeniu.
• Najbardziej realistyczny scenariusz obejmuje atak z sieci lokalnej lub po zdobyciu danych logowania administratora.

Kontekst / historia

Urządzenia SOHO od lat pozostają atrakcyjnym celem dla badaczy i cyberprzestępców. Wynika to z ich masowej obecności, ograniczonego wsparcia bezpieczeństwa oraz faktu, że wiele z nich działa na przestarzałym oprogramowaniu. W przypadku Linksys E1200 problem przypisano do CVE-2025-60690, a opublikowane materiały wskazują na testy przeprowadzone na wersjach firmware 2.0.02 oraz 2.0.04.

Znaczenie sprawy zwiększa publiczna dostępność kodu exploitacyjnego. Gdy gotowy materiał proof-of-concept trafia do otwartego obiegu, próg wejścia dla atakującego znacząco spada. W praktyce oznacza to, że nawet osoba o umiarkowanych umiejętnościach może odtworzyć atak, jeśli uzyska dostęp do panelu administracyjnego lub wykorzysta słabe poświadczenia.

Analiza techniczna

Opisany scenariusz opiera się na przepełnieniu stosu podczas obsługi żądania wysyłanego do POST /apply.cgi. Z publicznie udostępnionych materiałów wynika, że podatne są pola związane z konfiguracją sieci LAN, w których nadmiernie długi ciąg danych może doprowadzić do nadpisania pamięci procesu odpowiedzialnego za zapis ustawień.

Proof-of-concept pokazuje kilka kluczowych elementów ataku. Po pierwsze, żądanie zawiera nagłówek autoryzacyjny Basic, co potwierdza konieczność wcześniejszego zalogowania. Po drugie, payload zawiera dane przygotowane tak, aby wpłynąć na przepływ wykonania programu. Po trzecie, końcowy etap ładunku prowadzi do uruchomienia poleceń systemowych i otwarcia kanału umożliwiającego uzyskanie zdalnej powłoki.

Nie jest to więc wyłącznie błąd skutkujący awarią usługi WWW. Opis wskazuje na pełny łańcuch eksploatacji, w którym atakujący może przejąć kontrolę nad urządzeniem i wykonywać polecenia systemowe. Taki poziom wpływu oznacza, że kompromitacja routera może stać się punktem wyjścia do dalszych działań w całej sieci lokalnej.

W praktyce najbardziej prawdopodobny jest scenariusz ataku z wnętrza sieci LAN, na przykład po wcześniejszym przejęciu stacji roboczej, podłączeniu nieautoryzowanego urządzenia albo wykorzystaniu słabego hasła administratora. Ryzyko rośnie jeszcze bardziej, jeśli interfejs zarządzania został błędnie udostępniony poza zaufany segment.

Konsekwencje / ryzyko

Najpoważniejszym skutkiem udanej eksploatacji jest całkowite przejęcie routera. Atakujący może zmieniać ustawienia DNS, przechwytywać lub przekierowywać ruch, modyfikować reguły routingu i firewalla, a także utrzymywać trwały dostęp do urządzenia. W środowisku domowym może to prowadzić do wyłudzania danych logowania i przekierowań do fałszywych usług, a w małej firmie do zakłóceń łączności i dalszej penetracji sieci.

Mimo wymogu uwierzytelnienia zagrożenia nie należy lekceważyć. Wiele routerów nadal korzysta ze słabych lub domyślnych haseł, a panel administracyjny bywa dostępny z całej sieci lokalnej bez dodatkowych ograniczeń. Publiczny exploit dodatkowo podnosi ryzyko operacyjne, zwłaszcza w środowiskach korzystających ze starszego, niewspieranego sprzętu.

Dodatkowym problemem jest niska widoczność incydentów. Tanie urządzenia brzegowe zwykle nie oferują rozbudowanej telemetrii ani logowania bezpieczeństwa, dlatego wykrycie nieautoryzowanych zmian może nastąpić dopiero po zauważeniu skutków, takich jak nietypowe przekierowania ruchu czy problemy z dostępem do usług.

Rekomendacje

W pierwszej kolejności należy ustalić dokładny model i wersję firmware urządzenia. Jeśli dostępna jest poprawka bezpieczeństwa, aktualizację należy przeprowadzić niezwłocznie. Jeżeli router nie jest już objęty aktywnym wsparciem producenta, najlepszym rozwiązaniem pozostaje jego wymiana na nowszy model.

• Ograniczyć dostęp do panelu administracyjnego wyłącznie do zaufanego segmentu sieci.
• Wyłączyć zdalne zarządzanie z Internetu, jeśli nie jest absolutnie konieczne.
• Zmienić hasła administracyjne na silne i unikalne.
• Upewnić się, że urządzenie nie korzysta z fabrycznych poświadczeń.
• Monitorować zmiany DNS, nietypowe restarty oraz nowe reguły NAT i firewalla.
• W przypadku podejrzenia naruszenia wykonać reset do ustawień fabrycznych i ponownie skonfigurować urządzenie ręcznie.

W środowiskach firmowych warto również prowadzić regularną inwentaryzację wersji firmware oraz skanowanie urządzeń brzegowych pod kątem niepotrzebnie wystawionych paneli WWW. Tego typu podstawowe działania znacząco zmniejszają ryzyko wykorzystania podobnych luk.

Podsumowanie

Przypadek Linksys E1200 pokazuje, że nawet starszy router domowy może stać się krytycznym punktem bezpieczeństwa całej sieci. Uwierzytelnione przepełnienie bufora na stosie z możliwością zdalnego wykonania kodu, połączone z publicznie dostępnym exploitem, tworzy realne zagrożenie dla użytkowników indywidualnych i małych firm.

To także kolejny sygnał, że bezpieczeństwo urządzeń brzegowych nie powinno kończyć się na jednorazowej konfiguracji po zakupie. Regularne aktualizacje, silne hasła, segmentacja dostępu administracyjnego i wymiana sprzętu pozbawionego wsparcia pozostają podstawą ograniczania ryzyka.

Źródła

1. Exploit Database – Linksys E1200 2.0.04 – Authenticated Stack Buffer Overflow (RCE) — https://www.exploit-db.com/exploits/52548
2. NVD – CVE-2025-60690 — https://nvd.nist.gov/vuln/detail/CVE-2025-60690
3. GitHub – CVE research for Linksys E1200 V2 / CVE-2025-60690 — https://github.com/Jarrettgohxz/CVE-research/tree/main/Linksys/E1200-V2/CVE-2025-60690