PT-2024-7348 · Tenda · Tenda Routers G3

Question_H · Publicado 2024-09-26 · Atualizado 2024-10-04 · CVE-2024-46628

Positive Technologies (AI Summary) · Pt

CVSS v2.0

10

Crítica

Vetor base

AV:N/AC:L/Au:N/C:C/I:C/A:C

Nome do software vulnerável e versões afetadas:

Firmware do roteador Tenda G3, versão 15.03.05.05

Descrição:

O problema está relacionado a uma vulnerabilidade de execução remota de código no firmware do roteador Tenda G3. Essa vulnerabilidade pode ser explorada por meio do parâmetro usbPartitionName na função formSetUSBPartitionUmount, permitindo que um invasor remoto execute comandos arbitrários. A vulnerabilidade está associada à falta de sanitização de elementos especiais.

Recomendações:

Para a versão 15.03.05.05 do firmware do roteador Tenda G3, como solução temporária, considere desativar a função formSetUSBPartitionUmount até que um patch esteja disponível. Restrinja o acesso ao parâmetro usbPartitionName para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

OS Command Injection

Enumeração de Fraquezas

CWE-78

Identificadores relacionados

BDU:2024-08710

CVE-2024-46628

Produtos afetados

Tenda Routers G3

Referências · 9

• 🔥 https://github.com/Question-h/vuln/blob/master/Remote%20Code%20Execution%20Vulnerability%20in%20Tenda%20G3%20Router.md · Exploit
• https://bdu.fstec.ru/vul/2024-08710 · Nota de Segurança
• https://twitter.com/VulmonFeeds/status/1839450581431160975 · Publicação no Twitter
• https://t.me/cvedetector/6459 · Publicação no Telegram
• https://twitter.com/CVEnew/status/1839404311018693063 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2024-46628 · Nota de Segurança
• https://vuldb.com/?id.278623 · Nota
• https://osv.dev/vulnerability/CVE-2024-46628 · Aviso do Fabricante
• https://twitter.com/cracbot/status/1840995147515117632 · Publicação no Twitter