CVE-2024-3882

Tenda W30E versão 1.0.1.25(633)

A vulnerabilidade está relacionada a um estouro de buffer baseado em pilha na função fromRouteStatic do software do roteador Tenda W30E. Ela pode ser explorada por um invasor remoto por meio de uma solicitação POST especialmente criada para o endpoint /goform/fromRouteStatic, afetando potencialmente a confidencialidade, integridade e disponibilidade das informações protegidas. O argumento page é especificamente manipulado para causar esse estouro. A exploração já foi divulgada publicamente.

Para o Tenda W30E versão 1.0.1.25(633), como solução temporária, considere desativar a função fromRouteStatic até que um patch esteja disponível. Restrinja o acesso ao endpoint /goform/fromRouteStatic para minimizar o risco de exploração. Evite usar o argumento page no endpoint da API afetado até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.