PT-2024-2267 · Tenda · Tenda Ac18

CVE-2024-28537 · Publicado 2024-03-05 · Atualizado 2024-10-28

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Tenda AC18 versão 15.03.05.05

Descrição

O problema está relacionado a uma vulnerabilidade de estouro de pilha no parâmetro page da função fromNatStaticSetting, que pode ser explorada por um invasor remoto para comprometer a confidencialidade, integridade e disponibilidade das informações protegidas. A vulnerabilidade está associada ao endpoint /goform/NatStaticSetting.

Recomendações

Para o Tenda AC18 versão 15.03.05.05, considere desativar a função fromNatStaticSetting ou restringir o acesso ao endpoint /goform/NatStaticSetting até que uma correção esteja disponível. Evite usar o parâmetro page no endpoint afetado para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

Out of bounds Read

Stack Overflow

Enumeração de Fraquezas

CWE-125

CWE-121

Identificadores relacionados

BDU:2024-02200

CVE-2024-28537

Produtos afetados

Tenda Ac18

Referências · 7

• 🔥 https://github.com/abcdefg-png/IoT-vulnerable/blob/main/Tenda/AC18/fromNatStaticSetting.md · Exploit
• https://twitter.com/VulmonFeeds/status/1769780147626918053 · Publicação no Twitter
• https://t.me/cvenotify/99795 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2024-28537 · Aviso do Fabricante
• https://bdu.fstec.ru/vul/2024-02200 · Nota de Segurança
• https://nvd.nist.gov/vuln/detail/CVE-2024-28537 · Nota de Segurança
• https://twitter.com/CVEnew/status/1769723597914821061 · Publicação no Twitter