PT-2024-6509 · Totolink · Totolink X5000R

CVE-2024-42744

·

Publicado

2024-08-12

·

Atualizado

2024-08-15

CVSS v2.0

9.0

Alta

VetorAV:N/AC:L/Au:S/C:C/I:C/A:C
Nome do software vulnerável e versões afetadas
TOTOLINK X5000r versão 9.1.0cu.2350 b20230313
Descrição
O problema está relacionado a uma vulnerabilidade de injeção de comando do sistema operacional na função setModifyVpnUser, localizada no arquivo /cgi-bin/cstecgi.cgi. Essa vulnerabilidade pode ser explorada por invasores autenticados que enviam um pacote malicioso, permitindo-lhes executar comandos arbitrários. A vulnerabilidade existe devido à falta de medidas para neutralizar elementos especiais usados no comando do sistema operacional.
Recomendações
Para o TOTOLINK X5000r versão 9.1.0cu.2350 b20230313, considere desativar a função setModifyVpnUser até que um patch esteja disponível para impedir a exploração. Restrinja o acesso ao arquivo /cgi-bin/cstecgi.cgi para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

OS Command Injection

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
dbugs@ptsecurity.com

Enumeração de Fraquezas

CWE-78

Identificadores relacionados

BDU:2024-07651
CVE-2024-42744

Produtos afetados

Totolink X5000R