PT-2022-3934 · Totolink · Totolink A950Rg

CVE-2022-25082 · Publicado 2022-02-22 · Atualizado 2023-08-08

Positive Technologies (AI Summary) · Pt

CVSS v2.0

10

Crítica

Vetor base

AV:N/AC:L/Au:N/C:C/I:C/A:C

Nome do software vulnerável e versões afetadas

TOTOLink A950RG, versões V4.1.2cu.5204 B20210112 a V5.9c.4050 B20190424

Descrição

O problema está relacionado à função “Main” do firmware do roteador TOTOLink A950RG, que não possui sanitização de dados de entrada. Isso permite que um invasor remoto execute comandos arbitrários por meio do parâmetro QUERY STRING.

Recomendações

Para o TOTOLink A950RG versão V4.1.2cu.5204 B20210112, considere desativar a função “Main” até que uma correção esteja disponível.

Para a versão V5.9c.4050 B20190424 do TOTOLink A950RG, restrinja o acesso ao parâmetro QUERY STRING para minimizar o risco de exploração.

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

OS Command Injection

Command Injection

Enumeração de Fraquezas

CWE-78

CWE-77

Identificadores relacionados

BDU:2022-04763

CVE-2022-25082

Produtos afetados

Totolink A950Rg

Referências · 7

• 🔥❌ https://github.com/EPhaha/IOT_vuln/blob/main/TOTOLink/A950RG/README.md · Exploit, Deleted
• https://nvd.nist.gov/vuln/detail/CVE-2022-25082 · Nota de Segurança
• https://vuldb.com/ru/?id.193714 · Nota
• https://t.me/cibsecurity/38000 · Publicação no Telegram
• https://t.me/cvenotify/27702 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2022-25082 · Aviso do Fabricante
• https://bdu.fstec.ru/vul/2022-04763 · Nota de Segurança