PT-2024-6507 · Tenda · Tenda Fh1206

Publicado 2024-08-15 · Atualizado 2024-08-19 · CVE-2024-42973

Positive Technologies (AI Summary) · Pt

CVSS v2.0

7.8

Alta

Vetor base

AV:N/AC:L/Au:N/C:N/I:N/A:C

Nome do software vulnerável e versões afetadas

Tenda FH1206 versão 02.03.01.35

Descrição

O problema está relacionado a um estouro de pilha na função fromSetlpBind por meio do parâmetro page. Isso permite que invasores provoquem uma negação de serviço (DoS) por meio de uma solicitação POST maliciosa enviada ao endpoint da API afetada. A vulnerabilidade pode ser explorada por um invasor remoto, podendo levar à interrupção do serviço.

Recomendações

Para o Tenda FH1206 versão 02.03.01.35, considere desativar a função fromSetlpBind até que um patch esteja disponível para impedir a exploração por meio do parâmetro page em solicitações POST maliciosas. Restrinja o acesso à função vulnerável para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

Memory Corruption

Stack Overflow

Enumeração de Fraquezas

CWE-787

CWE-121

Identificadores relacionados

BDU:2024-07649

CVE-2024-42973

Produtos afetados

Tenda Fh1206

Referências · 8

• 🔥 https://github.com/TTTJJJWWW/AHU-IoT-vulnerable/blob/main/Tenda/FH1206/fromSetIpBind.md · Exploit
• https://twitter.com/VulmonFeeds/status/1824171997200326857 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2024-42973 · Nota de Segurança
• https://twitter.com/CVEnew/status/1824124327706472884 · Publicação no Twitter
• https://twitter.com/cracbot/status/1825774894522708360 · Publicação no Twitter
• https://bdu.fstec.ru/vul/2024-07649 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2024-42973 · Aviso do Fabricante
• https://t.me/cvedetector/3259 · Publicação no Telegram