Avisos de segurança (vulnerabilidades e CVEs) 1 de agosto de 2024
Caros leitores,
Neste artigo, encontrará uma lista de vulnerabilidades e CVEs que identificámos recentemente em determinados modelos de routers GL.iNet. Note que esta lista não inclui CVEs do OpenWrt.
Verifique as versões de firmware afetadas pelas vulnerabilidades e CVEs. Se for afetado, recomendamos vivamente que atualize o router para a versão de firmware que contém as correções o mais rapidamente possível.
| Modelo | Versão de firmware afetada | Versão de firmware com a correção |
|---|---|---|
| GL-MT6000 Flint 2 | V4.5.8 e anteriores | V4.6.2 |
| GL-A1300 Slate Plus | V4.5.16 e anteriores | V4.5.17 |
| GL-X300B Collie | ||
| GL-AX1800 Flint | V4.5.16 e anteriores | V4.6.2 |
| GL-AXT1800 Slate AX | ||
| GL-MT2500 Brume 2 | ||
| GL-MT3000 Beryl AX | ||
| GL-X3000 Spitz AX | V4.4.8 e anteriores | V4.4.9 |
| GL-XE3000 Puli AX | ||
| GL-XE300 Puli | V4.3.16 e anteriores | V4.3.17 |
| GL-E750/GL-E750V2 Mudi | V4.3.12 e anteriores | V4.3.17 |
| GL-X750 Spitz | V4.3.11 e anteriores | V4.3.17 |
| GL-SFT1200 Opal | ||
| GL-AR300M Shadow | ||
| GL-AR300M16 Shadow | ||
| GL-AR750 Creta | ||
| GL-AR750S-EXT Slate | ||
| GL-B1300 Convexa-B | ||
| GL-MT1300 Beryl | ||
| GL-MT300N-V2 Mango | ||
| GL-AP1300 Cirrus | V3.217 e anteriores | V3.218 |
| GL-B2200 Velica | V3.216 e anteriores | V3.218 |
| GL-MV1000 Brume | ||
| GL-MV1000W Brume-W | ||
| GL-USB150 Microuter | ||
| GL-SF1200 | ||
| microuter-N300 | ||
| GL-S1300 Convexa-S |
CVE-2024-39225
- Resumo: execução remota de código sem autenticação através de força bruta do SID
- Créditos: Bandar Alharbi https://github.com/aggressor0
CVE-2024-39226
- Resumo: a falta de validação dos dados de entrada permite a execução arbitrária de código
- Créditos: Patrick Walker
CVE-2024-39227
- Resumo: a ausência de verificações de autorização/controlos de acesso e a travessia de diretórios podem permitir a execução arbitrária de código
- Créditos: Patrick Walker
CVE-2024-39228
- Resumo: execução remota de código com autenticação através da api ovpn
- Créditos: Manfred Heinz
CVE-2024-39229
- Resumo: os atacantes podem alterar o endereço IP associado ao DDNS através do endereço MAC e do SN
CVE-2024-3661
- Resumo: vulnerabilidade Tunnelvision através da opção dhcp 121
- https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2024-3661
Este é um anúncio, não uma discussão. Para comunicar falhas de segurança, envie um email para security@gl-inet.com. Temos uma política de 90 dias para a divulgação de vulnerabilidades.