Een kwetsbaarheid in de Archer AX21 (AX1800) wifi-router van fabrikant TP-Link wordt actief door criminelen gebruikt om kwetsbare apparaten onderdeel van een botnet te maken, zo stelt securitybedrijf ZDI. De kwetsbaarheid die de aanvallers hiervoor gebruiken werd tijdens de Pwn2Own-wedstrijd van het ZDI, die afgelopen december plaatsvond, gedemonstreerd.

Via het beveiligingslek, aangeduid als CVE-2023-1389, kan een ongeauthenticeerde aanvaller via de webinterface willekeurige code op de router uitvoeren. De kwetsbaarheid is vanaf de WAN-kant van de router te misbruiken. Vaak zijn dergelijke beveiligingslekken in de webinterface alleen vanaf de LAN-kant toegankelijk. Onderzoekers ontdekten echter dat het door een race condition bij het verwerken van iptables kortstondig ook via de WAN-kant mogelijk is.

TP-Link kwam op 17 maart met een firmware-update die verschillende "security issues" verhelpt. Verdere details werden echter niet gegeven. Een van de verholpen problemen is CVE-2023-1389. Op 11 april zag ZDI dat aanvallers actief misbruik van het lek maken om kwetsbare routers aan een Mirai-botnet toe te voegen. De besmette routers zijn vervolgens voor het uitvoeren van ddos-aanvallen te gebruiken. Volgens de onderzoekers laat de snelheid waarmee criminelen misbruik van de kwetsbaarheid maken zien hoe belangrijk is dat fabrikanten beveiligingslekken snel verhelpen en gebruikers snel beschikbare patches uitrollen.