🇰🇷 한글 설명
Tenda i6 1.0.0.9(3857) 버전의 httpd 컴포넌트 내 /goform/setAutoPing 경로의 formSetAutoPing 함수에서 스택 기반 버퍼 오버플로우 취약점이 발견되었습니다. 공격자가 ping1 인자를 조작하여 원격에서 악성 코드를 실행하거나 시스템을 제어할 수 있습니다.
💡 쉬운 설명
Tenda i6 공유기의 특정 설정 기능에 허점이 있어, 해커가 멀리서도 기기를 조작할 수 있는 위험한 상태입니다. 잘못된 데이터를 보내 기기의 메모리를 넘치게 만들어 시스템을 장악할 수 있습니다.
🇺🇸 원문 (English)
A vulnerability, which was classified as critical, was found in Tenda i6 1.0.0.9(3857). This affects the function formSetAutoPing of the file /goform/setAutoPing of the component httpd. The manipulation of the argument ping1 leads to stack-based buffer overflow. It is possible to initiate the attack remotely. The exploit has been disclosed to the public and may be used. The associated identifier of this vulnerability is VDB-252255. NOTE: The vendor was contacted early about this disclosure but did not respond in any way.
📍 영향받는 시스템
Tenda i6 1.0.0.9(3857) 버전
⚔️ 공격 벡터
네트워크를 통한 원격 HTTP 요청 (ping1 인자 조작)
🛡️ 대응 방법
제조사의 보안 패치 적용 또는 해당 기능 사용 중단 및 네트워크 접근 제한
🔧 검증 코드
해당 경로에 대한 응답 확인을 통해 서비스 활성화 여부를 파악하고, 제조사 제공 펌웨어 버전과 대조하여 취약 여부를 판단합니다.
curl -s http://<target_ip>/goform/setAutoPing | grep -i 'httpd'