PT-2025-3479 · Trendnet · Trendnet Tew-632Brp

CVE-2024-57590 · Publicado 2025-01-27 · Atualizado 2025-02-01

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas TRENDnet TEW-632BRP versão 1.010B31

Descrição O problema está relacionado a uma vulnerabilidade de injeção de comandos do sistema operacional na interface CGI "ntp sync.cgi". Esta vulnerabilidade permite que atacantes remotos executem comandos arbitrários por meio do parâmetro ntp server passado ao binário "ntp sync.cgi" através de uma requisição POST para o endpoint "/ntp sync.cgi".

Recomendações Para o TRENDnet TEW-632BRP versão 1.010B31, considere desativar a interface "ntp sync.cgi" até que um patch esteja disponível para prevenir a exploração do parâmetro ntp server. Restrinja o acesso ao binário "ntp sync.cgi" para minimizar o risco de execução de comandos arbitrários. Evite usar o parâmetro ntp server no endpoint de API afetado até que o problema seja resolvido.

Correção

Command Injection

Enumeração de Fraquezas

CWE-77

Identificadores relacionados

CVE-2024-57590

Produtos afetados

Trendnet Tew-632Brp

Referências · 5

• https://twitter.com/CVEnew/status/1883888568008856009 · Publicação no Twitter
• https://github.com/IdaJea/IOT_vuln_1/blob/master/tew632/ntp_sync.md · Nota
• https://twitter.com/cracbot/status/1885587747357724737 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2024-57590 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2024-57590 · Nota de Segurança