Arris · Bgw210 · CVE-2022-31793
**Nome do software vulnerável e versões afetadas**
Versões do muhttpd anteriores à 1.1.7
**Descrição**
A vulnerabilidade permite que invasores remotos leiam arquivos arbitrários ao construir uma URL com um único caractere antes do caminho desejado no sistema de arquivos. Isso ocorre porque o código ignora o primeiro caractere ao servir os arquivos. Os dispositivos Arris NVG443, NVG599, NVG589 e NVG510, bem como os dispositivos BGW210 e BGW320 derivados da Arris, estão afetados. Um invasor pode obter acesso a arquivos contendo senhas, configurações de acesso sem fio, parâmetros de conexão do provedor e chaves privadas.
**Recomendações**
Para versões do muhttpd anteriores à 1.1.7, atualize para a versão 1.1.7 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso à função `do request` em `request.c` até que um patch esteja disponível. Evite usar solicitações HTTP especialmente criadas que possam explorar essa vulnerabilidade até que a atualização seja aplicada.