PT-2022-16933 · Wavlink · Wavlink Wn535K2+1

Publicado 2022-07-20 · Atualizado 2022-07-26 · CVE-2022-2486

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.0

Alta

Vetor base

AV:A/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

WAVLINK WN535K2

WAVLINK WN535K3

Descrição

Foi identificada uma falha crítica no arquivo /cgi-bin/mesh.cgi?page=upgrade, na qual a manipulação do argumento key leva à injeção de comandos no sistema operacional. A exploração foi divulgada ao público e pode estar em uso.

Recomendações

Para o WAVLINK WN535K2, como solução temporária, considere restringir o acesso ao endpoint /cgi-bin/mesh.cgi?page=upgrade até que um patch esteja disponível.

Para o WAVLINK WN535K3, como solução temporária, considere restringir o acesso ao endpoint /cgi-bin/mesh.cgi?page=upgrade até que um patch esteja disponível.

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

OS Command Injection

Enumeração de Fraquezas

CWE-78

Identificadores relacionados

CVE-2022-2486

Produtos afetados

Wavlink Wn535K2

Wavlink Wn535G3

Referências · 4

• 🔥 https://github.com/1angx/webray.com.cn/blob/main/Wavlink/Wavlink%20mesh.cgi.md · Exploit
• https://nvd.nist.gov/vuln/detail/CVE-2022-2486 · Nota de Segurança
• https://vuldb.com/?id.204537 · Nota
• https://t.me/cibsecurity/46643 · Publicação no Telegram