PT-2020-7515 · Micasaverde · Veralite

Daniel Crowley · Publicado 2020-01-28 · Atualizado 2020-02-04 · CVE-2013-4865

Positive Technologies (AI Summary) · Pt

CVSS v2.0

4.3

Média

Vetor base

AV:N/AC:M/Au:N/C:N/I:P/A:N

**Nome do software vulnerável e versões afetadas:

MiCasaVerde VeraLite versão 1.5.408

Descrição:

Uma vulnerabilidade do tipo falsificação de solicitação entre sites (CSRF) permite que invasores remotos se apropriem da autenticação do usuário em solicitações, possibilitando a instalação de firmware arbitrário por meio do parâmetro squashfs. Isso pode ser explorado através do envio de solicitações maliciosas ao sistema afetado.

Recomendações:

Para o MiCasaVerde VeraLite versão 1.5.408, considere restringir o acesso ao script upgrade step2.sh e ao parâmetro squashfs para minimizar o risco de exploração. Como solução temporária, evite usar o parâmetro squashfs em solicitações até que um patch esteja disponível. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

CSRF

Enumeração de Fraquezas

CWE-352

Identificadores relacionados

CVE-2013-4865

Produtos afetados

Veralite

Referências · 6

• 🔥 https://exploit-db.com/exploits/27286 · Exploit
• 🔥 http://packetstormsecurity.com/files/122654/MiCasaVerde-VeraLite-1.5.408-Traversal-Authorization-CSRF-Disclosure.html · Exploit
• 🔥 https://www3.trustwave.com/spiderlabs/advisories/TWSL2013-019.txt · Exploit
• 🔥 http://exploit-db.com/exploits/27286 · Exploit
• https://nvd.nist.gov/vuln/detail/CVE-2013-4865 · Nota de Segurança
• https://t.me/cvenotify/534 · Publicação no Telegram