PT-2022-6206 · Inhand Networks · Inrouter302

Francesco Benvenuto · Publicado 2022-05-10 · Atualizado 2022-05-23 · CVE-2022-26510

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.9

Crítica

Vetor base

AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

InHand Networks InRouter302 versão 3.5.37

Descrição

O problema está relacionado à verificação incorreta da assinatura criptográfica no procedimento de atualização do firmware do InHand Networks InRouter302. Isso pode ser explorado por um invasor remoto por meio de uma solicitação HTTP especialmente criada para atualizar o firmware. Um invasor pode desencadear esse problema enviando uma sequência de solicitações.

Recomendações

Para o InHand Networks InRouter302 versão 3.5.37, considere restringir o acesso à funcionalidade de atualização de firmware até que um patch esteja disponível. Como solução alternativa temporária, evite usar o mecanismo de atualização de firmware vulnerável. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

Improper Verification of Cryptographic Signature

Enumeração de Fraquezas

CWE-347

Identificadores relacionados

BDU:2023-00474

CVE-2022-26510

Produtos afetados

Inrouter302

Referências · 6

• 🔥 https://talosintelligence.com/vulnerability_reports/TALOS-2022-1495 · Exploit
• https://nvd.nist.gov/vuln/detail/CVE-2022-26510 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2022-26510 · Aviso do Fabricante
• https://inhandnetworks.com/upload/attachment/202205/10/InHand-PSA-2022-01.pdf · Aviso do Fabricante
• https://bdu.fstec.ru/vul/2023-00474 · Nota de Segurança
• https://t.me/cibsecurity/42517 · Publicação no Telegram