Totolink A7100RU cstecgi.cgi setNtpCfg injection de commande système

Une vulnérabilité a été détectée dans Totolink A7100RU 7.4cu.2313_b20191024. L'élément affecté est la fonction setNtpCfg du fichier /cgi-bin/cstecgi.cgi. Une manipulation de l'argument tz conduit à une injection de commande système. L'exploitation de l'attaque à distance est possible. L'exploit est désormais public et peut être utilisé.