CVE-2024-41592

Nome do software vulnerável e versões afetadas:

Dispositivos DrayTek Vigor3910 até a versão 4.3.2.6

Descrição:

O problema é um estouro de pilha ao processar parâmetros de string de consulta, pois o GetCGI lida incorretamente com caracteres “&” supérfluos e pares chave-valor longos. Isso pode ser explorado mediante o envio de uma solicitação HTTP especialmente criada, permitindo potencialmente que um invasor execute código arbitrário. A vulnerabilidade está sendo explorada ativamente.

Recomendações:

Para dispositivos DrayTek Vigor3910 até a versão 4.3.2.6, considere desativar a função GetCGI até que um patch esteja disponível para impedir a exploração. Restrinja o acesso ao módulo vulnerável para minimizar o risco de exploração. Evite usar os parâmetros de string de consulta no endpoint da API afetado até que o problema seja resolvido. Atualize para uma versão mais recente que contenha uma correção para este problema assim que ela estiver disponível.