Уязвимость инъекции команд в Chengdu Feiyuxing Technology Feiyu Star Router (CVE-2026-94138)

В продуктах для мониторинга уязвимостей появилась запись о новой проблеме безопасности в маршрутизаторе Chengdu Feiyuxing Technology Feiyu Star Router. Уязвимость затрагивает обработку параметров в веб-интерфейсе устройства и позволяет удалённому злоумышленнику выполнять произвольные команды в операционной системе роутера.

Подробности

Уязвимость CVE-2026-94138 имеет тип «инъекция команд» (command injection). Она затрагивает конкретную версию прошивки — B-MB5E202-210322-r11656. Проблема локализована в файле /send_order.cgi?parameter=del_expmac: при манипуляции аргументом mac его значение не проходит должную проверку, что позволяет внедрить в него команды оболочки. Функция, в которой возникает ошибка, в описании не указана.

Атака может быть проведена удалённо, то есть злоумышленнику не требуется физический доступ к устройству. Эксплойт уже опубликован в открытых источниках, что существенно повышает риск практического использования уязвимости. Производителю было направлено предварительное уведомление о раскрытии, однако он никак не отреагировал.

Уязвимости присвоен базовый балл CVSS 5.1 (MEDIUM). Такой уровень отражает умеренную опасность: для эксплуатации, вероятно, требуются определённые условия (например, доступ к веб-интерфейсу, аутентификация или специфическая конфигурация), но при успешной реализации последствия могут быть серьёзными — вплоть до полного контроля над устройством.

Что делать

На момент публикации официальное обновление прошивки от производителя отсутствует, поскольку он не ответил на уведомление. Рекомендуется принять следующие меры:

• Ограничить доступ к веб-интерфейсу роутера: не выставлять его в интернет, использовать только доверенные внутренние сети.
• Сменить учётные данные по умолчанию на сложные и уникальные, если это ещё не сделано.
• По возможности отключить удалённое управление и функцию /send_order.cgi, если она не используется.
• Регулярно проверять сайт производителя и базы уязвимостей на предмет выхода патча.
• Рассмотреть замену устройства на модель с поддержкой обновлений безопасности, если производитель не выпускает исправления.

Уязвимость CVE-2026-94138 в Chengdu Feiyuxing Technology Feiyu Star Router представляет реальную угрозу из-за наличия публичного эксплойта и отсутствия реакции вендора. Владельцам устройств следует немедленно ограничить доступ к веб-интерфейсу и следить за обновлениями. При невозможности устранения уязвимости безопаснее заменить роутер.

Источник: CVE Project (cvelistV5)