PT-2024-30084 · Linksys · Linksys E1500

CVE-2024-42633 · Publicado 2024-08-19 · Atualizado 2024-08-23

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Linksys E1500 versão 1.0.06.001

Descrição

Existe uma vulnerabilidade de injeção de comando na função do upgrade post do binário httpd. Como resultado, um invasor autenticado pode executar comandos do sistema operacional com privilégios de root. Isso poderia potencialmente levar ao controle total do dispositivo.

Recomendações

Para o Linksys E1500 versão 1.0.06.001, como solução temporária, considere desativar a função do upgrade post até que um patch esteja disponível. Restrinja o acesso ao binário httpd para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

OS Command Injection

Enumeração de Fraquezas

CWE-78

Identificadores relacionados

CVE-2024-42633

Produtos afetados

Linksys E1500

Referências · 9

• 🔥 https://github.com/goldds96/Report/blob/main/Linksys/E1500/CI.md · Exploit
• https://twitter.com/cracbot/status/1826862050746008062 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/1825607064887988656 · Publicação no Twitter
• https://twitter.com/cracbot/status/1827224390649487778 · Publicação no Twitter
• https://t.me/cvedetector/3521 · Publicação no Telegram
• https://twitter.com/oktsec/status/1825733079438147994 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2024-42633 · Nota de Segurança
• https://twitter.com/CVEnew/status/1825561215059255380 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2024-42633 · Aviso do Fabricante