CVE-2021-40407

Câmera IP Reolink RLC-410W, versão 3.0.0.136 20121102

Existe uma vulnerabilidade de injeção de comando no sistema operacional na funcionalidade de configurações de rede do dispositivo devido à validação inadequada da variável ddns->domain. Essa variável possui o valor do parâmetro domain fornecido por meio da API SetDdns. Um invasor pode enviar uma solicitação HTTP para acionar essa vulnerabilidade, permitindo potencialmente a execução remota de comandos arbitrários. O problema está relacionado ao tipo DDNS e ao parâmetro domain.

Para a câmera IP Reolink RLC-410W versão 3.0.0.136 20121102, como solução temporária, considere desativar a API SetDdns ou restringir o acesso a ela até que um patch esteja disponível. Além disso, evite usar o parâmetro domain no endpoint da API afetado até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.