PT-2024-6467 · Totolink · Totolink X6000R

Beacox

·

Publicado

2024-08-18

·

Atualizado

2024-08-25

·

CVE-2024-7907

CVSS v3.1

10

Crítica

VetorAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Nome do software vulnerável e versões afetadas
TOTOLINK X6000R versão 9.4.0cu.852 20230719
Descrição
Foi identificada uma vulnerabilidade crítica no TOTOLINK X6000R, afetando a função setSyslogCfg do arquivo /cgi-bin/cstecgi.cgi. A manipulação do argumento rtLogServer leva à injeção de comando. O ataque pode ser iniciado remotamente. A exploração foi divulgada ao público e pode estar em uso. O fornecedor foi contatado antecipadamente sobre esta divulgação, mas não respondeu de forma alguma.
Recomendações
Como solução temporária, considere desativar a função setSyslogCfg até que um patch esteja disponível. Restrinja o acesso ao arquivo /cgi-bin/cstecgi.cgi para minimizar o risco de exploração. Evite usar o parâmetro rtLogServer no endpoint da API afetado até que a vulnerabilidade seja resolvida. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

Stack Overflow

Command Injection

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
dbugs@ptsecurity.com

Enumeração de Fraquezas

CWE-121CWE-77

Identificadores relacionados

BDU:2024-07553
CVE-2024-7907

Produtos afetados

Totolink X6000R