CVE-2024-35401
ŚrednieCVSS 5.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 44 - wyżej niż 44% wszystkich znanych CVE
Streszczenie
W urządzeniu TOTOLINK CP900L w wersji oprogramowania 4.1.5cu.798_B20221228 wykryto podatność na wstrzykiwanie poleceń w funkcji UploadFirmwareFile poprzez parametr FileName. Atakujący może zdalnie wykonać dowolne polecenia systemowe.
Ocena ryzyka
Ryzyko dla organizacji obejmuje możliwość całkowitego przejęcia kontroli nad urządzeniem, co może prowadzić do naruszenia integralności sieci, kradzieży danych lub wykorzystania urządzenia jako punktu wejścia do dalszych ataków.
Rekomendacja
Należy natychmiast zaktualizować oprogramowanie sprzętowe urządzenia TOTOLINK CP900L do najnowszej dostępnej wersji, jeśli producent wydał łatkę. W międzyczasie ograniczyć dostęp do interfejsu zarządzania tylko do zaufanych sieci.
Oryginalny opis (angielski, źródło NVD)
TOTOLINK CP900L v4.1.5cu.798_B20221228 was discovered to contain a command injection vulnerability via the FileName parameter in the UploadFirmwareFile function.