PT-2024-38174 · Totolink · Totolink Lr350

Yhryhryhr_Miemie

·

Publicado

2024-07-30

·

Atualizado

2025-03-17

·

CVE-2024-7214

CVSS v3.1

8.8

Alta

VetorAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Nome do software vulnerável e versões afetadas
TOTOLINK LR350 versão 9.3.5u.6369 B20220309
Descrição
Foi identificada uma falha crítica que afeta a função setWanCfg do arquivo /cgi-bin/cstecgi.cgi. A manipulação do argumento hostName leva à injeção de comando. Esta vulnerabilidade pode ser explorada remotamente. A exploração já foi divulgada publicamente.
Recomendações
Para o TOTOLINK LR350 versão 9.3.5u.6369 B20220309, como solução temporária, considere desativar a função setWanCfg até que uma correção esteja disponível. Restrinja o acesso ao arquivo /cgi-bin/cstecgi.cgi para minimizar o risco de exploração. Evite usar o argumento hostName no endpoint da API afetado até que o problema seja resolvido.
No momento, não há informações sobre uma versão mais recente que contenha uma correção para este problema.

Exploit

Correção

Command Injection

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
dbugs@ptsecurity.com

Enumeração de Fraquezas

CWE-77

Identificadores relacionados

CVE-2024-7214

Produtos afetados

Totolink Lr350