PT-2024-35418 · Totolink · Totolink X6000R

M4Rg4Tr01D · Publicado 2024-11-22 · Atualizado 2024-12-16 · CVE-2024-52723

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

TOTOLINK X6000R versão 9.4.0cu.1041 B20240224

Descrição

O problema decorre do uso da função Uci Set sem filtragem rigorosa dos parâmetros no arquivo shttpd. Isso permite que um invasor execute comandos arbitrários através da construção de uma carga útil específica.

Recomendações

Para o TOTOLINK X6000R versão 9.4.0cu.1041 B20240224, considere desativar a função Uci Set até que um patch esteja disponível para impedir a execução de comandos arbitrários. Restrinja o acesso ao arquivo shttpd para minimizar o risco de exploração.

Correção

OS Command Injection

Enumeração de Fraquezas

CWE-78

Identificadores relacionados

CVE-2024-52723

Produtos afetados

Totolink X6000R

Referências · 5

• https://gist.github.com/M4rg4tr01d/e84f8ed8dc27960d7c56ad289f6fb0ff · Nota
• https://twitter.com/CVEnew/status/1859995420669161901 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2024-52723 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2024-52723 · Nota de Segurança
• http://x6000r.com · Nota