PT-2022-19742 · Totolink · Totolink A3100R

Hijin0925 · Publicado 2022-05-18 · Atualizado 2022-05-26 · CVE-2022-29638

Positive Technologies (AI Summary) · Pt

CVSS v2.0

7.8

Alta

Vetor base

AV:N/AC:L/Au:N/C:N/I:N/A:C

Nome do software vulnerável e versões afetadas

TOTOLINK A3100R, versões V4.1.2cu.5050 B20200504 a V4.1.2cu.5247 B20211129

Descrição

O problema está relacionado a um estouro de pilha por meio do parâmetro comment na função setIpQosRules, permitindo que invasores causem uma negação de serviço (DoS) por meio de uma solicitação POST maliciosa ao endpoint da API afetada.

Recomendações

Para as versões V4.1.2cu.5050 B20200504 a V4.1.2cu.5247 B20211129, considere desativar a função setIpQosRules até que uma correção esteja disponível para impedir a exploração.

Restrinja o acesso ao parâmetro comment vulnerável na função setIpQosRules para minimizar o risco de ataques de Negação de Serviço (DoS).

Exploit

Correção

Memory Corruption

Enumeração de Fraquezas

CWE-787

Identificadores relacionados

CVE-2022-29638

Produtos afetados

Totolink A3100R

Referências · 4

• 🔥 https://github.com/shijin0925/IOT/blob/master/TOTOLINK%20A3100R/2.md · Exploit
• https://t.me/cibsecurity/42896 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2022-29638 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2022-29638 · Nota de Segurança