PT-2024-20361 · Totolink · Totolink A3300R

CVE-2024-24327 · Publicado 2024-01-30 · Atualizado 2024-02-02

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

TOTOLINK A3300R versão 17.0.0cu.557 B20221024

Descrição

Foi descoberta uma vulnerabilidade de injeção de comando, que pode ser explorada por meio do parâmetro pppoePass na função setIpv6Cfg. Isso permite que invasores injetem comandos, o que pode levar a acesso ou controle não autorizado.

Recomendações

Para o TOTOLINK A3300R versão 17.0.0cu.557 B20221024, considere atualizar para uma versão mais recente que corrija essa vulnerabilidade. Como solução temporária, restrinja o acesso à função setIpv6Cfg para minimizar o risco de exploração. Evite usar o parâmetro pppoePass na função afetada até que a vulnerabilidade seja resolvida.

Exploit

Correção

OS Command Injection

Enumeração de Fraquezas

CWE-78

Identificadores relacionados

CVE-2024-24327

Produtos afetados

Totolink A3300R

Referências · 7

• 🔥 https://github.com/funny-mud-peee/IoT-vuls/blob/main/TOTOLINK%20A3300R/7/TOTOlink%20A3300R%20setIpv6Cfg.md · Exploit
• https://twitter.com/CVEnew/status/1752344014638981576 · Publicação no Twitter
• https://t.me/cvenotify/69497 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2024-24327 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2024-24327 · Nota de Segurança
• https://twitter.com/SecAideInfo/status/1753360467500933586 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/1752386790818738275 · Publicação no Twitter