CVE-2021-20623

RCE w Panasonic Video Insight VMS — wykonanie kodu jako SYSTEM

CVSS 9.8v3.1pub. 2021-02-05upd. 2024-11-21

Podatność w Panasonic Video Insight VMS w wersjach wcześniejszych niż 7.8 umożliwia zdalnemu atakującemu wykonanie dowolnego kodu z uprawnieniami użytkownika systemowego. Brak wymagań uwierzytelnienia oraz możliwość działania przez sieć sprawia, że zagrożenie jest krytyczne.

▸ Pokaż oryginał (EN)

Video Insight VMS versions prior to 7.8 allows a remote attacker to execute arbitrary code with the system user privilege by sending a specially crafted request.

🤖 Analiza AI

Jak działa

Atakujący wysyła specjalnie spreparowane żądanie sieciowe do podatnego serwera Video Insight VMS. System nie weryfikuje poprawnie odebranych danych, co skutkuje wykonaniem dostarczonego przez atakującego kodu. Podatność sklasyfikowana jest jako CWE-319, wskazując na transmisję wrażliwych danych bez odpowiedniego szyfrowania lub weryfikacji, co może być punktem wejścia do exploitacji. Atak nie wymaga żadnego uwierzytelnienia ani interakcji ze strony użytkownika.

Skutki

Atakujący może przejąć pełną kontrolę nad systemem, wykonując dowolny kod z uprawnieniami systemowymi (SYSTEM), co oznacza możliwość odczytu i modyfikacji danych, instalacji złośliwego oprogramowania oraz dalszego lateral movement w sieci.

Mitygacja

Należy niezwłocznie zaktualizować Panasonic Video Insight VMS do wersji 7.8 (build 780182) lub nowszej, zgodnie z informacjami producenta dostępnymi w release notes pod adresem http://downloadvi.com/downloads/IPServer/v7.8/780182/v780182RN.pdf