PT-2020-2772
CVE-2020-10215
·
Publicado
2020-03-06
·
Atualizado
2020-03-09
Descrição por
CVSS 2.0
9.0
AltaMétricasAV:N/AC:L/Au:S/C:C/I:C/A:C
Nome do software vulnerável e versões afetadas
D-Link DIR-825 versão 2.10
TRENDnet TEW-632BRP versão 1.010B32
Descrição
Existe uma falha no componente dns query.cgi dos dispositivos afetados, permitindo que invasores remotos executem comandos arbitrários. Isso é possível por meio do parâmetro
dns query name em uma solicitação POST “dns query.cgi”. A vulnerabilidade se deve à falta de neutralização de elementos especiais usados no comando do sistema operacional.Recomendações
Para o D-Link DIR-825 versão 2.10, considere desativar o componente dns query.cgi até que um patch esteja disponível.
Para o TRENDnet TEW-632BRP versão 1.010B32, restrinja o acesso ao componente dns query.cgi para minimizar o risco de exploração.
Evite usar o parâmetro
dns query name no endpoint da API afetado até que o problema seja resolvido.Explorabilidade
Exploit
Correção
Impactos
Fornecedores
Produtos afetados
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾