信息来源：Freebuf

近日，国家信息安全漏洞库（CNNVD）收到北京长亭科技有限公司关于企业级流路由产品“iKuai IK-G20SQL注入漏洞”，“iKuai小白SQL注入漏洞”和“iKuai小白命令注入漏洞”的情况报送。上述漏洞均由于未对用户输入进行有效验证，导致远程攻击者可利用该漏洞对使用受影响产品进行远程攻击。由于该漏洞影响范围较广，危害较为严重，根据CNNVD相关规定，已对此漏洞进行收录，并分配编号CNNVD-201608-553、CNNVD-201608-554、CNNVD-201608-555。

一、漏洞简介

“iKuai IK-G20”和“iKuai小白”是全讯汇聚网络科技公司的两款企业级流控路由产品。

1.      企业级流控路由产品iKuaiIK-G20iKuai8_2.6.5_Build20160815及历史版中存在SQL注入漏洞（漏洞编号：CNNVD-201608-553）。该漏洞源于telnet服务登录验证脚本没有正确过滤用户提交的输入，攻击者可利用该漏洞获取管理员账户和密码，修改任意用户密码，对文件写入任意数据。

2.      企业级路由产品iKuai小白1.3.1及历史版本中存在SQL注入漏洞（漏洞编号：CNNVD-201608-554）。攻击者可利用该漏洞注入任意SQL命令。

3.      企业级路由产品iKuai小白1.3.1及历史版本中存在命令注入漏洞（漏洞编号：CNNVD-201608-555）。该漏洞源于程序没有充分过滤参数，攻击者可利用该漏洞注入任意命令。

二、漏洞危害

1、攻击者可通过以下两种方式对上述漏洞进行利用：

（1）通过wifi或网线连接到路由器上，利用上述漏洞完全控制路由器。

（2）通过一台被攻击者控制的连接到该路由器的计算机作为跳板进行攻击，同样可影响到连接该路由器的所有计算机。

2、利用上述漏洞可造成以下危害：

（1）可修改路由器访问限制，进行内网漫游攻击。

（2）通过“iKuai IK-G20 SQL注入漏洞”，可获取并任意修改管理员账号密码，写入恶意木马文件，造成连接该路由器的其他计算机受到拒绝服务、钓鱼欺骗等攻击。

（3）通过“iKuai小白SQL注入漏洞”和“iKuai小白命令注入漏洞”，可在无用户名和口令情况下登录，并可执行任何命令，造成连接该路由器的其他计算机受到拒绝服务、钓鱼欺骗等攻击。

三、修复措施

1、经CNNVD与厂商沟通确认，“iKuai IK-G20”和“iKuai小白”将于下一版本发布漏洞补丁，请可能受影响的用户及时关注信息。

2、在此之前，使用上述设备的用户，经厂商确认可使用如下临时解决方案：

（1）针对“iKuaiIK-G20”路由产品，可通过关闭telnet登录消除安全隐患。

（2）修改iKuai路由产品密码为复杂口令，避免弱口令。

本报告由北京长亭科技有限公司提供支持。CNNVD将继续跟踪上述漏洞的相关情况，及时发布相关信息。如有需要，可与CNNVD及时联系。

http://www.cnnvd.org.cn/vulnerability/show/cv_id/2016080553

http://www.cnnvd.org.cn/vulnerability/show/cv_id/2016080554

http://www.cnnvd.org.cn/vulnerability/show/cv_id/2016080555