PT-2020-13886 · Trendnet · Tew-827Dru

Publicado 2020-06-15 · Atualizado 2020-06-17 · CVE-2020-14081

Positive Technologies (AI Summary) · Pt

CVSS v2.0

9.0

Alta

Vetor base

AV:N/AC:L/Au:S/C:C/I:C/A:C

Nome do software vulnerável e versões afetadas

TRENDnet TEW-827DRU, versões até 2.06B04

Descrição

O problema diz respeito a injeções de comando no endpoint apply.cgi por meio da ação send log email com as chaves auth acname ou auth passwd, permitindo que um usuário autenticado execute comandos arbitrários no dispositivo.

Recomendações

Para as versões do TRENDnet TEW-827DRU até a 2.06B04, considere desativar o acesso ao endpoint apply.cgi, especificamente à ação send log email, até que uma correção esteja disponível. Restrinja o uso das chaves auth acname e auth passwd para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

OS Command Injection

Enumeração de Fraquezas

CWE-78

Identificadores relacionados

CVE-2020-14081

Produtos afetados

Tew-827Dru

Referências · 4

• https://github.com/kuc001/IoTFirmware/blob/master/Trendnet/TEW-827/send_log_email_command.pdf · Nota
• https://osv.dev/vulnerability/CVE-2020-14081 · Aviso do Fabricante
• https://t.me/cvenotify/4351 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2020-14081 · Nota de Segurança