PT-2022-24226 · Linksys · Linksys Mr8300 Router
CVE-2022-38132
·
Publicado
2022-08-23
·
Atualizado
2022-08-29
CVSS v3.1
8.8
Alta
| Vetor | AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H |
Nome do software vulnerável e versões afetadas
Roteador Linksys MR8300, versão 1.0
Descrição
Existe uma vulnerabilidade de injeção de comando no roteador Linksys MR8300 durante o processo de registro no serviço DDNS. Um invasor conectado à interface web do roteador pode executar comandos arbitrários do sistema operacional especificando o
nome de usuário e a senha. Os campos nome de usuário e senha não são sanitizados adequadamente e são usados como argumentos de construção de URL, permitindo o redirecionamento de URL para um servidor arbitrário, o download de um arquivo de script arbitrário e, eventualmente, a execução do arquivo no dispositivo.Recomendações
Para o roteador Linksys MR8300 versão 1.0, como solução temporária, considere desativar a funcionalidade de registro do serviço DDNS até que uma correção esteja disponível. Restrinja o acesso à interface web do roteador para minimizar o risco de exploração. Evite usar os campos
username e password no processo de registro afetado até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.OS Command Injection
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Linksys Mr8300 Router