PT-2022-17631

CVE-2022-26007

Publicado

2022-05-12

Atualizado

2022-05-23

Descrição por

CVSS 3.1

9.1

Crítica

MétricasAV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

InRouter302 versão 3.5.4

Descrição

Existe uma vulnerabilidade de injeção de comando na funcionalidade de fábrica do console, permitindo que uma solicitação de rede especialmente criada leve à execução de comandos. Um invasor pode explorar essa vulnerabilidade enviando uma sequência de solicitações.

Recomendações

Para a versão 3.5.4, considere restringir o acesso à funcionalidade de fábrica do console até que uma correção esteja disponível. Como solução alternativa temporária, limite a capacidade de enviar solicitações de rede especialmente criadas para minimizar o risco de exploração.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-78: Improper Neutralization of Special Elements used in an OS Command (\'OS Command Injection\')

CWE-77: Improper Neutralization of Special Elements used in a Command (\'Command Injection\')

Identificadores relacionados

CVE-2022-26007