PT-2022-6202 · Inhand Networks · Inrouter302

Francesco Benvenuto · Publicado 2022-05-10 · Atualizado 2022-05-23 · CVE-2022-21809

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.9

Crítica

Vetor base

AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

InHand Networks InRouter302 versão 3.5.4

Descrição

Existe uma falha de gravação de arquivos na funcionalidade upload.cgi do httpd, permitindo que um invasor envie arquivos maliciosos por meio de uma solicitação HTTP especialmente criada. Isso pode resultar no envio arbitrário de arquivos.

Recomendações

Para o InHand Networks InRouter302 versão 3.5.4, considere restringir o acesso à funcionalidade upload.cgi até que um patch esteja disponível. Como solução temporária, evite usar a funcionalidade httpd upload.cgi para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

Unrestricted File Upload

Enumeração de Fraquezas

CWE-377

CWE-434

Identificadores relacionados

BDU:2023-00470

CVE-2022-21809

Produtos afetados

Inrouter302

Referências · 6

• 🔥 https://talosintelligence.com/vulnerability_reports/TALOS-2022-1468 · Exploit
• https://osv.dev/vulnerability/CVE-2022-21809 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2022-21809 · Nota de Segurança
• https://inhandnetworks.com/upload/attachment/202205/10/InHand-PSA-2022-01.pdf · Aviso do Fabricante
• https://t.me/cibsecurity/42524 · Publicação no Telegram
• https://bdu.fstec.ru/vul/2023-00470 · Nota de Segurança