CVE-2024-4124

Nome do software vulnerável e versões afetadas:

Tenda W15E versão 15.11.0.14

Descrição:

Foi identificada uma falha crítica na função formSetRemoteWebManage do arquivo /goform/SetRemoteWebManage. A manipulação do argumento remoteIP leva a um estouro de buffer na pilha. É possível iniciar o ataque remotamente. A exploração foi divulgada ao público e pode estar em uso. Esta vulnerabilidade permite que um invasor remoto execute código arbitrário usando uma solicitação POST especialmente criada.

Recomendações:

Para o Tenda W15E versão 15.11.0.14, como solução temporária, considere desativar a função formSetRemoteWebManage até que um patch esteja disponível. Restrinja o acesso ao endpoint /goform/SetRemoteWebManage para minimizar o risco de exploração. Evite usar o argumento remoteIP no endpoint da API afetado até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para este problema.