Omisión de autenticación de Tenda N300 a través del encabezado de solicitud HTTP con formato incorrecto
Los dispositivos Tenda N300 F3 12.01.01.48 permiten a los atacantes remotos obtener información confidencial (posiblemente incluida una línea http_passwd) mediante una solicitud directa de cgi-bin / DownloadCfg / RouterCfm.cfg, un problema relacionado con CVE-2017-14942. NOTA: el informe de vulnerabilidad puede sugerir que un? El carácter debe colocarse después del nombre de archivo RouterCfm.cfg, o que los encabezados de solicitud HTTP deben ser inusuales, pero no se sabe por qué son relevantes para el comportamiento de respuesta HTTP del dispositivo.
Puntuación CVSS: 9,6, ( AV: A / AC: L / PR: N / UI: N / S: C / C: H / I: H / A: H )
Proveedores afectados: Tenda y otros productos renombrados
Productos afectados: Enrutador N300 / N301
Que es Tenda
Tenda Technology se fundó en 1999. Tienen dos centros de I + D ubicados en China. Fabrican una variedad de productos como conmutadores, cámaras IP, adaptadores de línea eléctrica para datos de Internet, etc. El enrutador inalámbrico N300 F3 se lanzó en 2015 y la versión de firmware es V12.01.01.48. Esta no es la primera vez que se revela una vulnerabilidad a Tenda. La analista de seguridad Sanja Sarda de Independent Security Evaluators (ISE) probó el enrutador Wi-Fi Gigabit de doble banda inteligente AC15 AC1900 y encontró un total de cinco vulnerabilidades. “Estos incluyeron validación de solicitud insuficiente (CVE-2020–10986), validación y desinfección de datos insuficientes ( CVE-2020–10989) y una contraseña Telnet codificada ( CVE-2020–10988 ).
Estas vulnerabilidades crearon un riesgo de falsificación de solicitudes entre sitios y secuencias de comandos entre sitios (XSS), mientras que dos fallas ( CVE-2020 10987 y (CVE-2020-TBA) abrieron la puerta a la ejecución remota de código y la adquisición completa ”(Leyden 2020) ISE notificó a Tenda sobre este problema en enero, sin embargo, no ha respondido. Además, Tenda no ha parcheado estas vulnerabilidades dejando a los usuarios desprotegidos.
Referencias:
Gracias por visitar este sitio, espero que te haya gustado y vuelvas proximamente, compartela en las redes sociales, gracias
