PT-2022-19746 · Totolink · Totolink A3100R

Hijin0925 · Publicado 2022-05-18 · Atualizado 2022-05-26 · CVE-2022-29642

Positive Technologies (AI Summary) · Pt

CVSS v2.0

7.8

Alta

Vetor base

AV:N/AC:L/Au:N/C:N/I:N/A:C

Nome do software vulnerável e versões afetadas

TOTOLINK A3100R, versões V4.1.2cu.5050 B20200504 a V4.1.2cu.5247 B20211129

Descrição

Foi descoberta uma vulnerabilidade de estouro de pilha por meio do parâmetro url na função setUrlFilterRules(), permitindo que invasores causem uma negação de serviço (DoS) por meio de uma solicitação POST maliciosa ao endpoint /api, embora o endpoint exato não seja especificado.

Recomendações

Para as versões V4.1.2cu.5050 B20200504 a V4.1.2cu.5247 B20211129, considere desativar a função setUrlFilterRules() como uma solução temporária até que um patch esteja disponível.

Restrinja o acesso ao parâmetro url na função afetada para minimizar o risco de exploração.

Exploit

Correção

Memory Corruption

Enumeração de Fraquezas

CWE-787

Identificadores relacionados

CVE-2022-29642

Produtos afetados

Totolink A3100R

Referências · 4

• 🔥 https://github.com/shijin0925/IOT/blob/master/TOTOLINK%20A3100R/5.md · Exploit
• https://t.me/cibsecurity/42903 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2022-29642 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2022-29642 · Nota de Segurança