CVE-2021-21875

Command injection w Lantronix Premierwave 2050 — parametr EC keypasswd

CVSS 9.1v3.1pub. 2021-12-22upd. 2024-11-21

Podatność typu command injection w oprogramowaniu Lantronix Premierwave 2050 umożliwia uwierzytelnionemu atakującemu zdalne wykonanie dowolnych poleceń systemowych. Ze względu na wysoki wynik CVSS (9.1) i potencjalne pełne przejęcie kontroli nad urządzeniem, podatność klasyfikowana jest jako krytyczna.

▸ Pokaż oryginał (EN)

A specially-crafted HTTP request can lead to arbitrary command execution in EC keypasswd parameter. An attacker can make an authenticated HTTP request to trigger this vulnerability.

🤖 Analiza AI

Jak działa

Atakujący wysyła specjalnie spreparowane żądanie HTTP zawierające złośliwe dane w parametrze EC keypasswd. Dane te nie są odpowiednio filtrowane przed przekazaniem do interpretera poleceń systemowych, co skutkuje wykonaniem arbitralnych poleceń na urządzeniu. Do wykorzystania podatności wymagane jest wcześniejsze uwierzytelnienie — atakujący musi posiadać ważne poświadczenia dostępu do interfejsu HTTP urządzenia.

Skutki

Uwierzytelniony atakujący może wykonać dowolne polecenia systemowe na urządzeniu, co może prowadzić do pełnego przejęcia kontroli, wycieku poufnych danych konfiguracyjnych oraz naruszenia integralności i dostępności urządzenia.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Dodatkowo zaleca się ograniczenie dostępu do interfejsu administracyjnego HTTP urządzenia wyłącznie do zaufanych hostów/sieci oraz stosowanie silnych, unikalnych haseł administracyjnych.