CVE-2024-12856highexploração observadaCWE-1392CWE-78

CVE-2024-12856: falha de alta gravidade em Four-Faith F3x24

Four-Faith Industrial Router adjust_sys_time OS Command Injection

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar F3x36+ Monitorar F3x24

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

85Vexday Risk Score

Priorize a correção. Ela exploração observada pelo VulnCheck e tem prova de conceito pública.

ssvc Actcvss 7.2epss 84%
da publicação à arma15 dias
Publicada no NVD27 de dez.
1ª PoC+15d
VulnCheck9 de nov.
Em resumo

Um roteador industrial Four-Faith (modelos F3x24 e F3x36) permite que atacantes executem comandos prejudiciais no dispositivo alterando as configurações de hora do sistema. Se a senha padrão não for alterada, qualquer pessoa na internet pode explorar essa falha sem precisar de acesso legítimo.

Detalhe técnico

Uma vulnerabilidade de injeção de comando do SO existe no endpoint apply.cgi ao processar ajustes de hora do sistema. Atacantes remotos autenticados podem injetar comandos arbitrários; a presença de credenciais padrão não alteradas elimina a barreira de autenticação, permitindo execução remota de código não autenticada com acesso de nível de rede.

Resumo gerado e traduzido por IA a partir da descrição oficial.
The Four-Faith router models F3x24 and F3x36 are affected by an operating system (OS) command injection vulnerability. At least firmware version 2.0 allows authenticated and remote attackers to execute arbitrary OS commands over HTTP when modifying the system time via apply.cgi. Additionally, this firmware version has default credentials which, if not changed, would effectively change this vulnerability into an unauthenticated and remote OS command execution issue.
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H
Produtos afetados
Four-Faith · F3x24Four-Faith · F3x36
⚠ Recursos públicos, para você avaliar a exposição de sistemas que controla ou está autorizado a testar. Teste apenas com autorização.
CVEs relacionadas — Four-Faith F3x24

No mesmo produto, das mais perigosas para as menos.

CVE-2024-9643CRITICALFour-Faith F3x36 Hidden Debug CredentialsEPSS 3.0%CVE-2024-9644CRITICALFour-Faith F3x36 bapply.cgi Auth BypassEPSS 0.7%