CVE-2021-46007
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Wysokie ryzykoPercentyl 83 - wyżej niż 83% wszystkich znanych CVE
Streszczenie
W routerze Totolink A3100R w wersji oprogramowania V5.9c.4577 wykryto podatność na wstrzykiwanie poleceń systemu operacyjnego. Funkcja ping w panelu administracyjnym nie filtruje odpowiednio znaków specjalnych, co umożliwia atakującemu wykonanie dowolnych poleceń.
Ocena ryzyka
Atakujący może przejąć pełną kontrolę nad routerem, zmieniając jego konfigurację, przechwytując ruch sieciowy lub wykorzystując go jako punkt wyjścia do dalszych ataków w sieci wewnętrznej.
Rekomendacja
Należy natychmiast zaktualizować oprogramowanie routera do najnowszej dostępnej wersji lub zastosować tymczasowe zabezpieczenia, takie jak ograniczenie dostępu do panelu administracyjnego tylko do zaufanych adresów IP.
Oryginalny opis (angielski, źródło NVD)
totolink a3100r V5.9c.4577 is vulnerable to os command injection. The backend of a page is executing the "ping" command, and the input field does not adequately filter special symbols. This can lead to command injection attacks.