Уязвимость BDU:2024-10187
Идентификатор: BDU:2024-10187.
Наименование уязвимости: Уязвимость функции formWriteFacMac() (/goform/WriteFacMac) микропрограммного обеспечения маршрутизаторов Tenda AC6, позволяющая нарушителю выполнить произвольные команды.
Описание уязвимости: Уязвимость функции formWriteFacMac() (/goform/WriteFacMac) микропрограммного обеспечения маршрутизаторов Tenda AC6 связана с непринятием мер по очистке данных на управляющем уровне при обработке параметра mac. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольные команды
Уязвимое ПО: ПО сетевого программно-аппаратного средства Shenzhen Tenda Technology Co., Ltd. AC6 15.03.05.19 |
Наименование ОС и тип аппаратной платформы:
Дата выявления: 13.08.2024.
CVSS 2.0: AV:N/AC:L/Au:S/C:P/I:P/A:P
Уровень опасности уязвимости: Средний уровень опасности (базовая оценка CVSS 2.0 составляет 6,5)
Средний уровень опасности (базовая оценка CVSS 3.0 составляет 6,3)
Средний уровень опасности (базовая оценка CVSS 4.0 составляет 5,3)
Возможные меры по устранению:
Использование рекомендаций:
Компенсирующие меры:
— использование соответствующей схемы проверки ввода;
— использование средств межсетевого экранирования для ограничения возможности удалённого доступа к устройствам;
— ограничение доступа из внешних сетей (Интернет);
— отключение/ограничение функции удаленного управления для предотвращения попыток эксплуатации уязвимости (например, запрет использования незащищенных протоколов, таких как HTTP или Telnet);
— соблюдение парольной политики принятой для организации доступа к устройству;
— сегментирование сети для ограничения доступа к уязвимому устройству;
— использование средств обнаружения и предотвращения вторжений (IDS/IPS) для выявления и реагирования на попытки эксплуатации уязвимости;
— использование виртуальных частных сетей для организации удаленного доступа (VPN)..
Статус уязвимости: Потенциальная уязвимость
Наличие эксплойта: Существует в открытом доступе
Информация об устранении: Информация об устранении отсутствует
Идентификаторы других систем описаний уязвимости: CVE-2024-10697.
Тип ошибки CWE:
Ссылки на источники:
cайт ФАУ «ГНИИИ ПТЗИ ФСТЭК России».
https://vuldb.com/?id.282865
https://github.com/theRaz0r/iot-mycve/blob/main/tenda_ac6_rce_WriteFacMac/tenda_ac6_rce_WriteFacMac.md
