CVE-2018-3856

Command injection w konfiguracji RTSP Samsung SmartThings Hub

CVSS 9.9v3.1pub. 2018-08-23upd. 2024-11-21

Podatność w Samsung SmartThings Hub STH-ETH-250 (firmware 0.20.17) umożliwia zdalne wykonanie poleceń systemowych poprzez nieprawidłową obsługę spacji w polu URL konfiguracji kamer RTSP. Ze względu na wysoki wynik CVSS 9.9 i zmianę kontekstu wykonania (Scope: Changed), stanowi poważne zagrożenie dla środowisk domowej automatyki.

▸ Pokaż oryginał (EN)

An exploitable vulnerability exists in the smart cameras RTSP configuration of the Samsung SmartThings Hub STH-ETH-250 - Firmware version 0.20.17. The device incorrectly handles spaces in the URL field, leading to an arbitrary operating system command injection. An attacker can send a series of HTTP requests to trigger this vulnerability.

🤖 Analiza AI

Jak działa

Urządzenie niepoprawnie przetwarza znaki spacji w polu URL podczas konfiguracji kamer RTSP w inteligentnym koncentratorze. Atakujący uwierzytelniony w sieci może wysłać serię spreparowanych żądań HTTP zawierających payload z osadzonymi poleceniami systemowymi. Błąd klasyfikowany jako CWE-88 (argument injection) pozwala na wstrzyknięcie dodatkowych argumentów lub poleceń do wywołań systemowych realizowanych przez urządzenie.

Skutki

Atakujący może uzyskać możliwość wykonania dowolnych poleceń na poziomie systemu operacyjnego urządzenia, co prowadzi do pełnego przejęcia kontroli nad koncentratorem, a potencjalnie również do uzyskania dostępu do pozostałych urządzeń podłączonych w ramach ekosystemu Samsung SmartThings.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Zaleca się sprawdzenie dostępności aktualizacji firmware przez panel zarządzania Samsung SmartThings oraz ograniczenie dostępu sieciowego do interfejsu HTTP urządzenia wyłącznie do zaufanych hostów za pomocą firewall lub segmentacji sieci.