PT-2024-22254 · Gl.Inet · Gl-Inet Ar300M+14

Publicado 2024-08-26 · Atualizado 2024-09-05 · CVE-2024-28077

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Nome do software vulnerável e versões afetadas

GL-iNet MT6000, versões 4.3.10 a 4.5.6

GL-iNet XE3000, versão 4.4.5

GL-iNet X3000, versão 4.4.6

GL-iNet MT3000, versão 4.5.0

GL-iNet MT2500 versão 4.5.0

GL-iNet AXT1800 versão 4.5.0

GL-iNet AX1800 versão 4.5.0

GL-iNet A1300 versão 4.5.0

GL-iNet S200 versão 4.1.4-0300

GL-iNet X750 versão 4.3.7

GL-iNet SFT1200 versão 4.3.7

GL-iNet MT1300 versão 4.3.10

GL-iNet AR750 versão 4.3.10

GL-iNet AR750S versão 4.3.10

GL-iNet AR300M versão 4.3.10

GL-iNet AR300M16 versão 4.3.10

GL-iNet B1300 versão 4.3.10

GL-iNet MT300N-V2 versão 4.3.10

GL-iNet XE300 versão 4.3.16

Descrição

Foi detectada uma vulnerabilidade de negação de serviço em determinados dispositivos GL-iNet. Alguns sites podem detectar dispositivos expostos à rede externa por meio do DDNS e, consequentemente, obter os endereços IP e as portas dos dispositivos expostos. Ao utilizar nomes de usuário e caracteres especiais (como parênteses abertos ou colchetes), é possível acessar a interface de login e causar a falha do programa de gerenciamento de sessão, impedindo que os clientes façam login em seus dispositivos.

Recomendações

Para as versões 4.3.10 a 4.5.6 do GL-iNet MT6000, atualize para a versão 4.5.8 para mitigar o risco.

Para a versão 4.4.5 do GL-iNet XE3000, atualize para a versão 4.4.8 para mitigar o risco.

Para outras versões afetadas, no momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade. Como solução alternativa temporária, considere restringir

Exploit

Identificadores relacionados

CVE-2024-28077

Produtos afetados

Gl-Inet A1300

Gl-Inet Ar300M

Gl-Inet Ar300M16

Gl-Inet Ar750

Gl-Inet Ax1800

Gl-Inet Mt1300

Gl-Inet Mt2500

Gl-Inet Mt3000

Gl-Inet Mt300N-V2

Gl-Inet Mt6000

Gl-Inet S200

Gl-Inet Sft1200

Gl-Inet X3000

Gl-Inet X750

Gl-Inet Xe300

Referências · 9

• 🔥 https://github.com/gl-inet/CVE-issues/blob/main/4.0.0/Denial%20of%20service.md · Exploit
• https://osv.dev/vulnerability/CVE-2024-28077 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2024-28077 · Nota de Segurança
• https://gl-inet.com · Nota
• https://twitter.com/transilienceai/status/1829198758053073171 · Publicação no Twitter
• https://twitter.com/CVEnew/status/1828154750837444845 · Publicação no Twitter
• https://twitter.com/transilienceai/status/1829585106555552059 · Publicação no Twitter
• https://t.me/cvenotify/92266 · Publicação no Telegram
• https://t.me/cvedetector/4203 · Publicação no Telegram