CVE-2024-35396
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 41 - wyżej niż 41% wszystkich znanych CVE
Streszczenie
W urządzeniu TOTOLINK CP900L w wersji oprogramowania 4.1.5cu.798_B20221228 odkryto zakodowane na stałe hasło dla usługi telnet w pliku /web_cste/cgi-bin/product.ini. Umożliwia to atakującym zalogowanie się jako root.
Ocena ryzyka
Atakujący może uzyskać pełny, nieautoryzowany dostęp do urządzenia z uprawnieniami administratora, co pozwala na przejęcie kontroli nad routerem, podsłuchiwanie ruchu sieciowego lub wykorzystanie go jako punktu wejścia do wewnętrznej sieci.
Rekomendacja
Należy natychmiast zaktualizować oprogramowanie sprzętowe (firmware) urządzenia TOTOLINK CP900L do najnowszej dostępnej wersji, która usuwa tę podatność. Jeśli aktualizacja nie jest dostępna, należy wyłączyć usługę telnet i zmienić domyślne hasło dostępu.
Oryginalny opis (angielski, źródło NVD)
TOTOLINK CP900L v4.1.5cu.798_B20221228 was discovered to contain a hardcoded password for telnet in /web_cste/cgi-bin/product.ini, which allows attackers to log in as root.