PT-2024-24480 · Tenda · Tenda Ac7

Publicado 2024-04-17 · Atualizado 2025-03-17 · CVE-2024-32281

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Tenda AC7V1.0 versão 15.03.06.44

Descrição

O problema consiste em uma vulnerabilidade de injeção de comando na função formexeCommand por meio do parâmetro cmdinput. Essa vulnerabilidade pode ser explorada remotamente. Não há exploits conhecidos no momento.

Recomendações

Para o Tenda AC7V1.0 versão 15.03.06.44, aplique o patch imediatamente para corrigir a vulnerabilidade de injeção de comando na função formexeCommand. Além disso, revise o código em busca de falhas na validação de entrada para evitar problemas semelhantes. Como solução alternativa temporária, considere restringir o acesso à função formexeCommand até que um patch esteja disponível. Verifique se há acesso não autorizado após aplicar o patch.

Exploit

Correção

Command Injection

Enumeração de Fraquezas

CWE-77

Identificadores relacionados

CVE-2024-32281

Produtos afetados

Tenda Ac7

Referências · 7

• 🔥 https://github.com/abcdefg-png/IoT-vulnerable/blob/main/Tenda/AC7/v1/formexecommand.md · Exploit
• https://osv.dev/vulnerability/CVE-2024-32281 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2024-32281 · Nota de Segurança
• https://twitter.com/oktsec/status/1780653164124873195 · Publicação no Twitter
• https://t.me/cvenotify/115044 · Publicação no Telegram
• https://twitter.com/CVEnew/status/1780731200375828989 · Publicação no Twitter
• https://t.me/cvenotify/77087 · Publicação no Telegram