CVE-2024-3880

Nome do software vulnerável e versões afetadas:

Tenda W30E versão 1.0.1.25(633)

Descrição:

Uma falha crítica afeta a função formWriteFacMac do arquivo /goform/WriteFacMac. A manipulação do argumento mac leva à injeção de comando os. O ataque pode ser iniciado remotamente. O fornecedor foi contatado antecipadamente sobre esta divulgação, mas não respondeu de forma alguma.

Recomendações:

Tenda W30E versão 1.0.1.25(633): Atualize o firmware para uma versão que corrija a vulnerabilidade de injeção de comando do sistema operacional na função formWriteFacMac. Como solução temporária, considere desativar a função formWriteFacMac até que um patch esteja disponível. Restrinja o acesso ao arquivo /goform/WriteFacMac para minimizar o risco de exploração. Evite usar o argumento mac no endpoint da API afetado até que o problema seja resolvido.