PT-2024-19649 · Totolink · Totolink A3300R

Yangyi · Publicado 2024-01-11 · Atualizado 2024-10-01 · CVE-2024-23058

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

TOTOLINK A3300R versão 17.0.0cu.557 B20221024

Descrição

Foi detectada uma vulnerabilidade de injeção de comando por meio do parâmetro pass na função setTr069Cfg. Isso permite uma possível exploração. Não há informações sobre o número estimado de dispositivos afetados ou incidentes reais.

Recomendações

Para o TOTOLINK A3300R versão 17.0.0cu.557 B20221024, como solução temporária, considere restringir o acesso à função setTr069Cfg até que um patch esteja disponível. Evite usar o parâmetro pass na função afetada para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para este problema.

Exploit

Correção

OS Command Injection

Enumeração de Fraquezas

CWE-78

Identificadores relacionados

CVE-2024-23058

Produtos afetados

Totolink A3300R

Referências · 6

• 🔥 https://github.com/funny-mud-peee/IoT-vuls/blob/main/TOTOLINK%20A3300R/6/TOTOlink%20A3300R%20setTr069Cfg.md · Exploit
• https://twitter.com/VulmonFeeds/status/1745501699395944945 · Publicação no Twitter
• https://twitter.com/CVEnew/status/1745480825179889842 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2024-23058 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2024-23058 · Aviso do Fabricante
• https://t.me/cvenotify/96762 · Publicação no Telegram