PT-2024-10143 · Wavlink · Wavlink Ac3000
CVSS v3.1
9.1
Crítica
| Vetor | AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H |
Nome do software vulnerável e versões afetadas
Wavlink AC3000, versões M33A8.V5030.210505
Descrição
Existem várias vulnerabilidades de injeção de comando no sistema operacional na funcionalidade set add routing() do internet.cgi. Uma solicitação HTTP especialmente criada pode levar à execução arbitrária de comandos. Um invasor pode fazer uma solicitação HTTP autenticada para acionar essas vulnerabilidades. Existe uma vulnerabilidade de injeção de comando no parâmetro POST
gateway.Recomendações
Para a versão M33A8.V5030.210505, considere desativar a função set add routing() até que um patch esteja disponível.
Restrinja o acesso ao script internet.cgi para minimizar o risco de exploração.
Evite usar o parâmetro
gateway no endpoint HTTP afetado até que o problema seja resolvido.No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.
Exploit
Command Injection
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Wavlink Ac3000