PT-2022-19568 · Totolink · Totolink A3600R

Publicado 2022-05-24 · Atualizado 2022-05-31 · CVE-2022-29377

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Nome do software vulnerável e versões afetadas

Totolink A3600R versão 4.1.2cu.5182 B20201102

Descrição

Foi descoberta uma vulnerabilidade de estouro de pilha na função fread em “infostat.cgi”. Esse problema permite que invasores provoquem uma negação de serviço (DoS) por meio do parâmetro CONTENT LENGTH.

Recomendações

Para o Totolink A3600R versão 4.1.2cu.5182 B20201102, como solução temporária, considere restringir o acesso ao endpoint “infostat.cgi” até que um patch esteja disponível. Evite usar o parâmetro CONTENT LENGTH no endpoint afetado até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

Memory Corruption

Enumeração de Fraquezas

CWE-787

Identificadores relacionados

CVE-2022-29377

Produtos afetados

Totolink A3600R

Referências · 5

• 🔥❌ https://github.com/molezsbd/iot-cve/tree/master/totolink/a3600r · Exploit, Deleted
• https://t.me/cibsecurity/43204 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2022-29377 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2022-29377 · Nota de Segurança
• https://t.me/cvenotify/30613 · Publicação no Telegram