PT-2024-3832 · Tenda · Tenda Fh1206

CVE-2024-35339

·

Publicado

2024-05-17

·

Atualizado

2024-08-16

CVSS v3.1

9.8

Crítica

VetorAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Nome do software vulnerável e versões afetadas
Tenda FH1206 versão 1.2.0.8(8155)
Descrição
O problema está relacionado a uma vulnerabilidade de injeção de comando. Ela pode ser explorada por meio do parâmetro mac no endpoint “/ip/goform/WriteFacMac”, permitindo que um invasor remoto execute comandos arbitrários enviando uma solicitação POST especialmente criada. Além disso, a vulnerabilidade está associada à falha em neutralizar elementos especiais usados no comando do sistema operacional na função addVlan no endpoint “/view/networkConfig/vlan/vlan add commit.php”.
Recomendações
Para o Tenda FH1206 versão 1.2.0.8(8155), considere desativar o parâmetro mac no endpoint “/ip/goform/WriteFacMac” e restringir o acesso à função addVlan no endpoint “/view/networkConfig/vlan/vlan add commit.php” para minimizar o risco de exploração. Evite usar o parâmetro mac no endpoint da API afetado até que o problema seja resolvido.

Exploit

Correção

Code Injection

OS Command Injection

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
dbugs@ptsecurity.com

Enumeração de Fraquezas

CWE-94CWE-78

Identificadores relacionados

BDU:2024-04209
CVE-2024-35339

Produtos afetados

Tenda Fh1206