Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidad en la herramienta de diagnóstico tracert en la página de administración Web del enrutador Netis WF2419 (CVE-2019-19356)

Gravedad CVSS v3.1:
ALTA
Tipo:
CWE-78 Neutralización incorrecta de elementos especiales usados en un comando de sistema operativo (Inyección de comando de sistema operativo)
Fecha de publicación:
07/02/2020
Última modificación:
03/04/2025

Descripción

Netis WF2419 es vulnerable a la Ejecución de Código Remota (RCE) autenticada como root por medio de la página de administración Web del enrutador. La vulnerabilidad ha sido encontrada en la versión de firmware V1.2.31805 y V2.2.36123. Una vez conectado uno a esta página, es posible ejecutar comandos de sistema como root por medio de la herramienta de diagnóstico tracert debido a una falta de saneamiento de la entrada del usuario.

Productos y versiones vulnerables

CPE Desde Hasta
cpe:2.3:o:netis-systems:wf2419_firmware:1.2.31805:*:*:*:*:*:*:*
cpe:2.3:o:netis-systems:wf2419_firmware:2.2.36123:*:*:*:*:*:*:*
cpe:2.3:h:netis-systems:wf2419:-:*:*:*:*:*:*:*