CVE-2024-7336

TOTOLINK EX200 versão 4.0.3c.7646 B20201211

Foi encontrada uma falha crítica na função loginauth do arquivo /cgi-bin/cstecgi.cgi, causada por um estouro de buffer ao processar o parâmetro http host. Isso permite que um invasor remoto comprometa a confidencialidade, integridade e disponibilidade de informações protegidas enviando uma solicitação POST especialmente criada para o endpoint da API /cgi-bin/cstecgi.cgi. A exploração já foi divulgada publicamente.

Para o TOTOLINK EX200 versão 4.0.3c.7646 B20201211, como solução temporária, considere desativar a função loginauth até que um patch esteja disponível. Restrinja o acesso ao endpoint da API /cgi-bin/cstecgi.cgi para minimizar o risco de exploração. Evite usar o parâmetro http host no endpoint da API afetado até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para este problema.