PT-2024-28401 · Gl.Inet · N300+23

Publicado 2024-08-06 · Atualizado 2024-08-15 · CVE-2024-39229

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

Produtos GL-iNet AR750/AR750S/AR300M/AR300M16/MT300N-V2/B1300/MT1300/SFT1200/X750 versão 4.3.11

Produtos GL-iNet MT3000/MT2500/AXT1800/AX1800/A1300/X300B versão 4.5.16

Produtos GL-iNet XE300 versão 4.3.16

Produtos GL-iNet E750 versão 4.3.12

Produtos GL-iNet AP1300/S1300 versão 4.3.13

Produtos GL-iNet XE3000/X3000 versão 4

Produtos GL-iNet B2200/MV1000/MV1000W/USB150/N300/SF1200 versão 3.216

Descrição

A vulnerabilidade permite que invasores interceptem comunicações por meio de um ataque man-in-the-middle quando clientes DDNS estão enviando dados ao servidor.

Recomendações

Para a versão 4.3.11 dos produtos GL-iNet AR750/AR750S/AR300M/AR300M16/MT300N-V2/B1300/MT1300/SFT1200/X750, considere desativar a funcionalidade do cliente DDNS até que uma correção esteja disponível.

Para a versão 4.5.16 dos produtos GL-iNet MT3000/MT2500/AXT1800/AX1800/A1300/X300B, considere desativar a funcionalidade de cliente DDNS até que um patch esteja disponível.

Para a versão 4.3.16 dos produtos GL-iNet XE300, considere desativar a funcionalidade do cliente DDNS até que um patch esteja disponível.

Para a versão 4.3.12 dos produtos GL-iNet E750, considere desativar a funcionalidade do cliente DDNS até que um patch esteja disponível.

Para a versão 4.3.13 dos produtos GL-iNet AP1300/S1300, considere desativar a funcionalidade do cliente DDNS até que uma correção esteja disponível.

Para a versão 4 dos produtos GL-iNet XE3000/X3000, considere desativar a funcionalidade do cliente DDNS até que uma correção esteja disponível.

Para a versão 3.216 dos produtos GL-i

Exploit

Correção

Enumeração de Fraquezas

CWE-924

Identificadores relacionados

CVE-2024-39229

Produtos afetados

A1300

Ap1300

Ar300M

Ar300M16

Ar750

Ar750S

Axt1800

B1300

B2200

E750

Mt1300

Mt2500

Mt3000

Mt300N-V2

Mv1000

N300

S1300

Sft1200

Usb150

X3000

X300B

X750

Xe300

Xe3000

Referências · 6

• 🔥 https://github.com/gl-inet/CVE-issues/blob/main/4.0.0/DDNS%20data%20is%20not%20encrypted.md · Exploit
• https://t.me/cvenotify/90152 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2024-39229 · Nota de Segurança
• https://t.me/cvedetector/2620 · Publicação no Telegram
• https://t.me/cvenotify/89482 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2024-39229 · Aviso do Fabricante