PT-2024-32983 · Sunniwell · Sunniwell Ht3300

Giles-One · Publicado 2024-11-08 · Atualizado 2024-11-18 · CVE-2024-48073

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do sunniwell HT3300 anteriores à 1.0.0.B022.2

Descrição

O problema diz respeito a permissões inseguras no dispositivo sunniwell HT3300, especificamente no programa /usr/local/bin/update, que é usado para atualizações de software e possui o modo de execução sudo NOPASSWD. Este programa está sujeito a uma vulnerabilidade de injeção de comando, permitindo que um invasor passe comandos por meio de argumentos de linha de comando para obter privilégios elevados de root.

Recomendações

Para versões do sunniwell HT3300 anteriores à 1.0.0.B022.2, atualize para a versão 1.0.0.B022.2 ou posterior para resolver o problema. Como solução alternativa temporária, considere restringir o acesso ao programa /usr/local/bin/update para minimizar o risco de exploração.

Correção

Missing Authorization

Enumeração de Fraquezas

CWE-862

Identificadores relacionados

CVE-2024-48073

Produtos afetados

Sunniwell Ht3300

Referências · 6

• https://t.me/cvedetector/10226 · Publicação no Telegram
• https://twitter.com/CVEnew/status/1855002071235268815 · Publicação no Twitter
• https://github.com/Giles-one/sunniwellHT3300PrivilegeEscalation · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2024-48073 · Nota de Segurança
• https://gist.github.com/Giles-one/56f677b96aab5a67fbe31dd41fd1303d · Nota
• https://twitter.com/VulmonFeeds/status/1855049340395344046 · Publicação no Twitter