PT-2024-5038 · Wwbn · Wwbn Avideo

Chocapikk · Publicado 2024-03-28 · Atualizado 2024-08-28 · CVE-2024-31819

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas:

WWBN AVideo, versões 12.4 a 14.2

Descrição:

A vulnerabilidade no WWBN AVideo está relacionada à validação insuficiente de entradas no arquivo submitIndex.php do plugin WWBNIndex, permitindo que um invasor remoto execute código arbitrário por meio do parâmetro systemRootPath. Isso pode ser feito enviando uma solicitação POST especialmente criada. Aproximadamente 2.355 dispositivos estão potencialmente afetados, localizados principalmente nos Estados Unidos e na Alemanha.

Recomendações:

Para as versões 12.4 a 14.2 do WWBN AVideo, considere desativar o componente submitIndex.php ou restringir o acesso a ele até que uma correção esteja disponível. Evite usar o parâmetro systemRootPath no endpoint da API afetado até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

RCE

Code Injection

Enumeração de Fraquezas

CWE-20

CWE-94

Identificadores relacionados

BDU:2024-05565

CVE-2024-31819

GHSA-MV5W-WR5C-575P

Produtos afetados

Wwbn Avideo

Referências · 19

• 🔥 https://github.com/rapid7/metasploit-framework/blob/master/modules/exploits/multi/http/avideo_wwbnindex_unauth_rce.rb · Exploit
• 🔥 https://github.com/Chocapikk/CVE-2024-31819 · Exploit
• 🔥 https://chocapikk.com/posts/2024/cve-2024-31819 · Exploit
• https://github.com/WWBN/AVideo · Nota
• https://github.com/WWBN/AVideo/commit/fcb1f79278684f02ee59130dc0304bd063d9d6d7 · Nota
• https://t.me/cvenotify/76421 · Publicação no Telegram
• https://t.me/pentestingnews/45781 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2024-31819 · Aviso do Fabricante
• https://sploitus.com/exploit?id=MSF:EXPLOIT-MULTI-HTTP-AVIDEO_WWBNINDEX_UNAUTH_RCE- · Nota
• https://vuldb.com/?id.260304 · Nota
• https://twitter.com/Chocapikk_/status/1777782168883732608 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/1777782373272191399 · Publicação no Twitter
• https://github.com/WWBN · Nota
• https://twitter.com/zoomeye_team/status/1777879707004141857 · Publicação no Twitter
• https://twitter.com/AnonAnonymous/status/1779302686195622048 · Publicação no Twitter