PT-2022-3854 · Totolink · Totolink A800R+5
CVE-2022-26210
·
Publicado
2022-03-15
·
Atualizado
2025-04-23
CVSS v3.1
9.8
Crítica
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
Nome do software vulnerável e versões afetadas
TOTOLINK A800R versão 4.1.2cu.5137 B20200730
TOTOLINK A810R versão 4.1.2cu.5182 B20201026
TOTOLINK A830R versão 5.9c.4729 B20191112
TOTOLINK A3000RU versão 5.9c.5185 B20201128
TOTOLINK A3100R versão 4.1.2cu.5050 B20200504
TOTOLINK A950RG versão 4.1.2cu.5161 B20200903
Descrição
A vulnerabilidade está relacionada à função
setUpgradeFW no firmware dos roteadores TOTOLINK, que não possui validação de entrada para o parâmetro FileName. Isso permite que um invasor remoto execute comandos arbitrários por meio de uma solicitação maliciosa.Recomendações
Para o TOTOLINK A800R versão 4.1.2cu.5137 B20200730, considere desativar a função
setUpgradeFW até que um patch esteja disponível.Para o TOTOLINK A810R versão 4.1.2cu.5182 B20201026, restrinja o acesso à função
setUpgradeFW para minimizar o risco de exploração.Para o TOTOLINK A830R versão 5.9c.4729 B20191112, evite usar o parâmetro
FileName na função afetada até que o problema seja resolvido.Para o TOTOLINK A3000RU versão 5.9c.5185 B20201128, aplique alterações de configuração para limitar o impacto da vulnerabilidade.
Para o TOTOLINK A3100R versão 4.1.2cu.5050 B20200504, considere implementar medidas de segurança adicionais para prevenir ataques de injeção de comando.
Para o TOTOLINK A950RG versão 4.1.2cu.5161 B20200903, desative temporariamente a função
setUpgradeFW para impedir a exploração.Exploit
Correção
OS Command Injection
Command Injection
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Totolink A3000Ru
Totolink A3100R
Totolink A800R
Totolink A810R
Totolink A830R
Totolink A950Rg