CVE-2024-57016

Nome do Software Vulnerável e Versões Afetadas TOTOLINK X5000R versão V9.1.0cu.2350 B20230313

Descrição O problema está relacionado à função setVpnAccountCfg(), especificamente ao endpoint /web/cgi-bin/cstecgi.cgi, onde o parâmetro user não é devidamente sanitizado, permitindo a injeção de comandos do sistema operacional. Isso poderia permitir que um atacante remoto executasse comandos arbitrários. A vulnerabilidade está associada à falta de medidas para neutralizar elementos especiais utilizados no comando do sistema operacional ao processar o parâmetro user.

Recomendações Para o TOTOLINK X5000R versão V9.1.0cu.2350 B20230313, como solução temporária, considere desativar a função setVpnAccountCfg() até que uma correção esteja disponível. Restrinja o acesso ao endpoint /web/cgi-bin/cstecgi.cgi para minimizar o risco de exploração. Evite utilizar o parâmetro user no endpoint afetado até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.