PT-2024-1057 · Totolink · Totolink Lr1200Gb

·

CVE-2024-0294

·

Publicado

2024-01-07

·

Atualizado

2024-05-17

CVSS v3.1

10

Crítica

VetorAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Nome do software vulnerável e versões afetadas
Totolink LR1200GB versão 9.1.0u.6619 B20230130
Descrição
Existe uma vulnerabilidade crítica devido à falta de neutralização de elementos especiais na função setUssd do arquivo /cgi-bin/cstecgi.cgi. Isso permite que um invasor remoto execute código arbitrário por meio de injeção de comando do sistema operacional, manipulando o argumento ussd. O ataque pode ser lançado remotamente.
Recomendações
Para o Totolink LR1200GB versão 9.1.0u.6619 B20230130, como solução temporária, considere desativar a função setUssd do arquivo /cgi-bin/cstecgi.cgi até que um patch esteja disponível. Restrinja o acesso ao arquivo /cgi-bin/cstecgi.cgi para minimizar o risco de exploração. Evite usar o argumento ussd no endpoint da API afetado até que o problema seja resolvido.
No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

OS Command Injection

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾

Enumeração de Fraquezas

Identificadores relacionados

BDU:2024-00288
CVE-2024-0294

Produtos afetados

Totolink Lr1200Gb