CVE-2024-41588

Nome do software vulnerável e versões afetadas:

DrayTek Vigor3910, versões até 4.3.2.6

Descrição:

O problema está relacionado a uma vulnerabilidade de estouro de buffer nos pontos de extremidade CGI /cgi-bin/v2x00.cgi e /cgi-bin/cgiwcg.cgi da interface web dos dispositivos DrayTek Vigor3910. Essa vulnerabilidade é causada pela falta de verificação de limites nos parâmetros de entrada passados por meio de solicitações POST para a função strncpy. A exploração dessa vulnerabilidade pode permitir que um invasor remoto execute código arbitrário ou cause uma negação de serviço ao enviar uma solicitação HTTP especialmente criada. A vulnerabilidade pode ser explorada por usuários autenticados.

Recomendações:

Para as versões do DrayTek Vigor3910 até a 4.3.2.6, considere desativar o acesso aos pontos de extremidade /cgi-bin/v2x00.cgi e /cgi-bin/cgiwcg.cgi até que um patch esteja disponível. Restrinja o acesso a esses pontos de extremidade para minimizar o risco de exploração. Evite usar parâmetros que possam acionar a vulnerabilidade de estouro de buffer nos pontos de extremidade da API afetados até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.