CVE-2024-35397
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 96 - wyżej niż 96% wszystkich znanych CVE
Streszczenie
W urządzeniu TOTOLINK CP900L w wersji oprogramowania v4.1.5cu.798_B20221228 wykryto podatność na wstrzykiwanie komend w funkcji NTPSyncWithHost przez parametr hostTime. Umożliwia ona atakującemu wykonanie dowolnych poleceń systemowych za pomocą spreparowanego żądania.
Ocena ryzyka
Ryzyko polega na możliwości całkowitego przejęcia kontroli nad urządzeniem przez zdalnego atakującego, co może prowadzić do naruszenia integralności sieci, kradzieży danych lub wykorzystania urządzenia w atakach DDoS.
Rekomendacja
Należy natychmiast zaktualizować oprogramowanie urządzenia TOTOLINK CP900L do najnowszej dostępnej wersji, która usuwa tę podatność. Jeśli aktualizacja nie jest dostępna, należy ograniczyć dostęp do urządzenia z zaufanych sieci i zastosować reguły firewall blokujące nieautoryzowane żądania.
Oryginalny opis (angielski, źródło NVD)
TOTOLINK CP900L v4.1.5cu.798_B20221228 weas discovered to contain a command injection vulnerability in the NTPSyncWithHost function via the hostTime parameter. This vulnerability allows attackers to execute arbitrary commands via a crafted request.