CVE-2024-8224

Tenda G3 versão 15.11.0.20

Foi encontrada uma falha crítica no Tenda G3, afetando a função formSetDebugCfg do arquivo /goform/setDebugCfg. A manipulação do argumento enable/level/module leva a um estouro de buffer baseado em pilha. Essa falha pode ser explorada remotamente, permitindo que um invasor execute código arbitrário enviando solicitações POST especialmente criadas. A exploração foi divulgada ao público. O fornecedor foi contatado sobre esta divulgação, mas não respondeu.

Como solução temporária, considere desativar a função formSetDebugCfg até que um patch esteja disponível. Restrinja o acesso ao endpoint /goform/setDebugCfg para minimizar o risco de exploração. Evite usar o argumento enable/level/module no endpoint da API afetado até que a falha seja resolvida. Atualize seus dispositivos imediatamente para evitar ataques remotos. Segmente os dispositivos vulneráveis para limitar os danos potenciais. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.