PT-2024-7950 · Totolink · Totolink X6000R

Yanggao017 · Publicado 2024-07-22 · Atualizado 2024-08-01 · CVE-2024-41315

Positive Technologies (AI Summary) · Pt

CVSS v2.0

7.7

Alta

Vetor base

AV:A/AC:L/Au:S/C:C/I:C/A:C

Nome do software vulnerável e versões afetadas

TOTOLINK A6000R versão 1.0.1-B20201211.2000

Descrição

O problema está relacionado a uma vulnerabilidade de injeção de comando na função apcli do enr pin wps, especificamente por meio do parâmetro ifname. Essa vulnerabilidade pode ser explorada por um invasor remoto para executar comandos arbitrários. A vulnerabilidade é causada pela falta de sanitização adequada de elementos especiais usados no comando ao processar o parâmetro ifname.

Recomendações

Para o TOTOLINK A6000R versão 1.0.1-B20201211.2000, considere desativar a função apcli do enr pin wps até que um patch esteja disponível para impedir a exploração da vulnerabilidade de injeção de comando por meio do parâmetro ifname. Restrinja o acesso à função vulnerável para minimizar o risco de exploração. Evite usar o parâmetro ifname na função afetada até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

OS Command Injection

Enumeração de Fraquezas

CWE-78

Identificadores relacionados

BDU:2024-09458

CVE-2024-41315

Produtos afetados

Totolink X6000R

Referências · 9

• 🔥 https://github.com/yanggao017/vuln/blob/main/TOTOLINK/A6000R/CI_4_apcli_do_enr_pin_wps/README.md · Exploit
• https://bdu.fstec.ru/vul/2024-09458 · Nota de Segurança
• https://cve.org/CVERecord?idCVE-2024-41315 · Nota de Segurança
• https://gist.github.com/yanggao017/add8d85589614d09e3e8ccb1fb335f64 · Nota
• https://t.me/cvenotify/87128 · Publicação no Telegram
• https://t.me/cvedetector/1443 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2024-41315 · Aviso do Fabricante
• https://feedly.com/cve/CVE-2024-41315 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2024-41315 · Nota de Segurança