CVE-2024-57703

Tenda AC8v4 — stack overflow w funkcji setSchedWifi (schedEndTime)

CVSS 9.8v3.1pub. 2025-01-16upd. 2025-03-17

Podatność typu stack-based buffer overflow w oprogramowaniu routera Tenda AC8v4 w wersji V16.03.34.06 umożliwia zdalnemu, nieuwierzytelnionemu atakującemu przejęcie kontroli nad urządzeniem. Wysoki wynik CVSS 9.8 wskazuje na krytyczne zagrożenie dla bezpieczeństwa sieci.

▸ Pokaż oryginał (EN)

Tenda AC8v4 V16.03.34.06 has a stack overflow vulnerability. Affected by this vulnerability is the function setSchedWifi of the file /goform/openSchedWifi. The manipulation of the argument schedEndTime leads to stack-based buffer overflow.

🤖 Analiza AI

Jak działa

Podatność występuje w funkcji setSchedWifi obsługującej endpoint /goform/openSchedWifi w oprogramowaniu urządzenia. Poprzez manipulację argumentem schedEndTime atakujący może dostarczyć nadmiernie długą wartość, która przekracza rozmiar bufora na stosie (stack). Skutkuje to przepisaniem obszarów pamięci stosu (CWE-787, CWE-120), co może umożliwić wykonanie dowolnego kodu na urządzeniu.

Skutki

Atakujący bez żadnego uwierzytelnienia i zdalnie może uzyskać pełną kontrolę nad urządzeniem, co obejmuje naruszenie poufności, integralności i dostępności systemu oraz potencjalnie dostęp do sieci, do której podłączony jest router.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Jako doraźne działanie ograniczające ryzyko zaleca się ograniczenie dostępu do interfejsu administracyjnego urządzenia wyłącznie do zaufanych adresów IP oraz wyłączenie zdalnego zarządzania, jeśli nie jest wymagane.