PT-2022-18402 · Tenda · Tenda Ax12

Publicado 2022-04-25 · Atualizado 2022-05-06 · CVE-2022-27374

Positive Technologies (AI Summary) · Pt

CVSS v2.0

7.1

Alta

Vetor base

AV:N/AC:M/Au:N/C:N/I:N/A:C

Nome do software vulnerável e versões afetadas

Tenda AX12 versão V22.03.01.21 CN

Descrição

O problema está relacionado a uma falsificação de solicitação entre sites (CSRF) que pode ser explorada por meio da função sub 42E328 no endpoint da API “/goform/SysToolReboot”. Isso permite que ações não autorizadas sejam realizadas no sistema.

Recomendações

Para o Tenda AX12 versão V22.03.01.21 CN, como solução temporária, considere desativar a função sub 42E328 até que um patch esteja disponível. Restrinja o acesso ao endpoint da API “/goform/SysToolReboot” para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para este problema.

Exploit

Correção

CSRF

Enumeração de Fraquezas

CWE-352

Identificadores relacionados

CVE-2022-27374

Produtos afetados

Tenda Ax12

Referências · 4

• 🔥❌ https://github.com/tianhui999/myCVE/blob/main/AX12/AX12.md · Exploit, Deleted
• https://nvd.nist.gov/vuln/detail/CVE-2022-27374 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2022-27374 · Aviso do Fabricante
• https://t.me/cvenotify/29791 · Publicação no Telegram