PT-2020-12957 · Openwrt+2 · Openwrt+2

Ilya Shaposhnikov · Publicado 2020-04-21 · Atualizado 2024-08-04 · CVE-2020-11966

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões 3.3.1 e anteriores do IQrouter

Descrição

A vulnerabilidade permite que invasores remotos alterem a senha de root arbitrariamente usando a função Lua reset password no painel web. Isso pode ocorrer em uma rede totalmente nova que não tenha sido configurada com uma senha segura. Observa-se que esse comportamento também é observado em versões não configuradas do OpenWRT e em outras novas distribuições Linux antes de sua configuração inicial.

Recomendações

Para as versões 3.3.1 e anteriores do IQrouter, como solução temporária, considere desativar a função reset password no painel web até que um patch esteja disponível.

No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Enumeração de Fraquezas

CWE-521

Identificadores relacionados

CVE-2020-11966

Produtos afetados

Iqrouter

Linux

Openwrt

Referências · 8

• https://pastebin.com/grSCSBSu · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2020-11966 · Nota de Segurança
• https://openwrt.org/docs/guide-quick-start/walkthrough_login · Nota
• https://t.me/cvenotify/88964 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2020-11966 · Aviso do Fabricante
• https://evenroute.com · Nota
• https://evenroute.zendesk.com/hc/en-us/articles/216107838-How-do-I-configure-an-IQrouter- · Nota
• https://t.me/cvenotify/2957 · Publicação no Telegram