PT-2024-5386 · Totolink · Totolink Cp900L

·

CVE-2024-7464

·

Publicado

2024-07-23

·

Atualizado

2024-08-15

CVSS v3.1

9.8

Crítica

VetorAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Nome do software vulnerável e versões afetadas
TOTOLINK CP900 versão 6.3c.566
Descrição
Foi identificada uma falha crítica no componente do serviço Telnet, afetando especificamente a função setTelnetCfg. A manipulação do argumento telnet enabled leva à injeção de comando. Essa falha pode ser explorada remotamente através do envio de uma solicitação POST especialmente criada. A exploração foi divulgada publicamente.
Recomendações
Para o TOTOLINK CP900 versão 6.3c.566, como solução temporária, considere desativar a função setTelnetCfg até que um patch esteja disponível. Restrinja o acesso ao componente do Serviço Telnet para minimizar o risco de exploração. Evite usar o argumento telnet enabled no endpoint da API afetado até que o problema seja resolvido.
No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

Improper Neutralization

Special Elements Injection

Command Injection

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾

Enumeração de Fraquezas

Identificadores relacionados

BDU:2024-06020
CVE-2024-7464

Produtos afetados

Totolink Cp900L