PT-2021-21318
CVE-2021-36707
·
Publicado
2021-08-06
·
Atualizado
2021-08-12
Descrição por
CVSS 3.1
9.8
CríticaMétricasAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Nome do software vulnerável e versões afetadas
ProLink PRC2402M versões 1.0.18 e anteriores
Descrição
O problema diz respeito a uma injeção de comando na função set ledonoff dentro do binário adm.cgi. Essa função é acessível com um valor de parâmetro de página
ledonoff. O valor do parâmetro led cmd é passado diretamente para do system(), permitindo uma injeção de comando trivial.Recomendações
Para as versões 1.0.18 e anteriores do ProLink PRC2402M, como solução temporária, considere restringir o acesso ao binário
adm.cgi ou desativar a função set ledonoff até que um patch esteja disponível. Evite usar o parâmetro led cmd no endpoint da API afetado até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.Explorabilidade
Exploit
Impactos
Pesquisadores
Fornecedores
Produtos afetados
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾