اگر جزو کاربرانی هستید که برای مدیریت پیکربندی تجهیزات شبکه از ابزار rConfig استفاده می کنید باید از وجود دو آسیب‌پذیری حیاتی در این ابزار مطلع باشید. یک محقق امنیتی کد اثبات مفهومی برای بهره‌برداری از دو آسیب‌پذیری حیاتی اجرای کد از راه دور را در این ابزار منتشر کرده که با بهره‌برداری از حداقل یکی از آن‌ها یک مهاجم از راه دور می‌تواند سیستم هدف و همچنین تجهیزات متصل به آن را آلوده کند.
این ابزار به زبان PHP نوشته شده و متن‌باز و رایگان است و برای مدیریت پیکربندی تجهیزات شبکه به‌کار می‌رود. به‌گفته‌ی وب‌سایت این ابزار، نزدیک به ۳٫۳ میلیون تجهیز با استفاده از این ابزار پیکربندی می‌شوند که از جمله‌ی آن‌ها می‌توان به سوئیچ‌ها، روترها، فایروال‌ها، توزیع‌کننده‌های بار و بهینه‌سازهای WAN اشاره کرد. نکته‌ی مهم و نگران‌کننده‌ای که وجود دارد این است که این دو آسیب‌پذیری نسخه‌های rConfig از جمله نسخه‌ی آخر که ۳٫۹٫۲ است را تحت تاثیر قرار داده است.
این دو آسیب‌پذیری هریک در فایل‌های جداگانه مربوط به rConfig وجود دارند. یکی از آن‌ها با شناسه‌ی CVE-2019-16662 می‌تواند بدون احراز هویت و از راه دور مورد بهره‌برداری قرار بگیرد. آسیب‌پذیری دیگر با شناسه‌ی CVE-2019-16663 قبل از بهره‌برداری نیاز به احراز هویت دارد. آسیب‌پذیری اول در ajaxServerSettingsChk.php و آسیب‌پذیری دوم در فایل search.crud.php وجود دارد. در هر دو مورد، برای بهره‌برداری از آسیب‌پذیری، تنها چیزی که مهاجم لازم است انجام دهد، دسترسی به فایل‌های آسیب‌پذیر با پازامترهای GET است تا در ادامه دستورات OS را بر روی سرور هدف انجام دهد. بهره‌برداری در نهایت دسترسی به شل از راه دور را برای مهاجم فراهم می‌کند که می‌تواند به اجرای کدهای دلخواه بپردازد.
یک محقق امنیتی دیگر نیز به‌طور مستقل این آسیب‌پذیری‌ها را بررسی کرده و کشف کرده که آسیب‌پذیری دوم که به احراز هویت نیاز داشت، در نسخه‌های قبل از ۳٫۶٫۰ برای بهره‌برداری از آن نیز به احراز هویت نیازی نیست. به نظر می‌رسد تمامی نسخه‌های rCongif تحت تاثیر آسیب‌پذیری اول قرار نگرفته‌اند. این ابزار در وب‌سایت خود اعلام کرده پس از نصب برنامه، دایرکتوری install را به‌طور کامل حذف کنند. به‌عبارت دیگر کاربرانی که این دایرکتوری را حذف کرده‌اند، تحت تاثیر آسیب‌پذیری اول قرار نگرفته‌اند. به کاربرانی که از این ابزار استفاده می‌کنند توصیه می‌شود تا انتشار وصله برای این آسیب‌پذیری‌ها، این ابزار را حدف کرده و از گزینه‌های جایگزین استفاده کنند.
