PT-2024-27683 · Totolink · Totolink X6000R

Lakemoon602 · Publicado 2024-06-20 · Atualizado 2024-07-03 · CVE-2024-37626

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

TOTOLINK A6000R versão 1.0.1-B20201211.2000

Descrição

Uma vulnerabilidade de injeção de comando permite que um invasor remoto execute código arbitrário por meio do parâmetro iface na função vif enable. Isso permite que o invasor injete e execute comandos, podendo levar ao acesso não autorizado ou ao controle do sistema.

Recomendações

Para o TOTOLINK A6000R versão 1.0.1-B20201211.2000, considere desativar a função vif enable até que um patch esteja disponível para impedir a exploração da vulnerabilidade de injeção de comando. Restrinja o acesso ao parâmetro iface para minimizar o risco de execução de código arbitrário. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

OS Command Injection

Enumeração de Fraquezas

CWE-78

Identificadores relacionados

CVE-2024-37626

Produtos afetados

Totolink X6000R

Referências · 7

• 🔥 https://github.com/lakemoon602/vuln/blob/main/totolink/TOTOlink%20A6000R%20vif_enable.md · Exploit
• https://osv.dev/vulnerability/CVE-2024-37626 · Aviso do Fabricante
• https://totolink.net · Nota
• https://twitter.com/CVEnew/status/1803842138976723090 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2024-37626 · Nota de Segurança
• http://a6000r.com · Nota
• https://t.me/cvenotify/83887 · Publicação no Telegram