PT-2024-1059 · Totolink · Totolink N200Re

·

CVE-2024-0298

·

Publicado

2024-01-07

·

Atualizado

2024-05-17

CVSS v2.0

10

Crítica

VetorAV:N/AC:L/Au:N/C:C/I:C/A:C
Nome do software vulnerável e versões afetadas
Totolink N200RE versão 9.3.5u.6139 B20201216
Descrição
Foi encontrada uma falha crítica na função setDiagnosisCfg do arquivo /cgi-bin/cstecgi.cgi. A manipulação do argumento ip leva à injeção de comandos no sistema operacional. É possível lançar o ataque remotamente. A exploração foi divulgada ao público e pode estar em uso.
Recomendações
Para o Totolink N200RE versão 9.3.5u.6139 B20201216, como solução temporária, considere desativar a função setDiagnosisCfg até que um patch esteja disponível. Restrinja o acesso ao arquivo /cgi-bin/cstecgi.cgi para minimizar o risco de exploração. Evite usar o argumento ip no endpoint da API afetado até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

OS Command Injection

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾

Enumeração de Fraquezas

Identificadores relacionados

BDU:2024-00290
CVE-2024-0298

Produtos afetados

Totolink N200Re