PT-2021-2490 · Openwrt · Openwrt

Jussi Rämo · Publicado 2021-03-21 · Atualizado 2023-05-24 · CVE-2021-28961

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

**Nome do software vulnerável e versões afetadas:

OpenWrt 19.07

Descrição:

O problema está relacionado ao pacote DDNS no OpenWrt 19.07, onde o arquivo detail.lua permite que usuários remotos autenticados injetem comandos arbitrários por meio de solicitações POST no endpoint da API /cgi-bin/luci, especificamente no script detail.lua. Isso pode afetar a confidencialidade, a integridade e a disponibilidade de informações protegidas.

Recomendações:

Para o OpenWrt 19.07, considere desativar o script detail.lua no pacote DDNS como uma solução temporária até que um patch esteja disponível. Restrinja o acesso ao pacote DDNS para minimizar o risco de exploração. Evite usar o pacote DDNS até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Command Injection

OS Command Injection

Enumeração de Fraquezas

CWE-77

CWE-78

Identificadores relacionados

BDU:2021-01866

CVE-2021-28961

Produtos afetados

Openwrt

Referências · 11

• https://github.com/openwrt/luci/commit/9df7ea4d66644df69fcea18b36bc465912ffc · Correção
• https://openwrt.org/advisory/2021-08-01-3 · Aviso do Fabricante
• https://t.me/cvenotify/11987 · Publicação no Telegram
• https://t.me/cvenotify/20980 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2021-28961 · Nota de Segurança
• https://t.me/cvenotify/11677 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2021-28961 · Aviso do Fabricante
• https://t.me/cvenotify/51049 · Publicação no Telegram
• https://bdu.fstec.ru/vul/2021-01866 · Nota de Segurança
• https://t.me/cibsecurity/25213 · Publicação no Telegram
• https://t.me/cvenotify/19215 · Publicação no Telegram