PT-2020-2773
CVE-2020-10216
·
Publicado
2020-03-06
·
Atualizado
2020-03-09
Descrição por
CVSS 2.0
9.0
AltaMétricasAV:N/AC:L/Au:S/C:C/I:C/A:C
Nome do software vulnerável e versões afetadas
D-Link DIR-825 versão 2.10
TRENDnet TEW-632BRP versão 1.010B32
Descrição
Existe uma falha que permite que invasores remotos executem comandos arbitrários por meio do parâmetro
date em uma solicitação POST para “system time.cgi”. A vulnerabilidade se deve à falta de neutralização de elementos especiais usados no comando do sistema operacional. Isso pode permitir que um invasor remoto execute comandos arbitrários.Recomendações
Para o D-Link DIR-825 versão 2.10, considere desativar o componente system time.cgi até que um patch esteja disponível.
Para o TRENDnet TEW-632BRP versão 1.010B32, restrinja o acesso ao endpoint system time.cgi para minimizar o risco de exploração.
Evite usar o parâmetro
date no endpoint da API “system time.cgi” afetado até que o problema seja resolvido.Explorabilidade
Exploit
Correção
Impactos
Fornecedores
Produtos afetados
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾