CVE-2021-21954

Command injection w Anker Eufy Homebase 2 — zdalne wykonanie poleceń

CVSS 9.9v3.1pub. 2021-12-09upd. 2024-11-21

Podatność typu command injection w urządzeniu Anker Eufy Homebase 2 pozwala uwierzytelnionemu atakującemu sieciowemu na wykonanie dowolnych poleceń systemowych. Wysoki wynik CVSS 9.9 oraz zakres oddziaływania wykraczający poza sam system (Scope: Changed) czynią tę podatność krytyczną.

▸ Pokaż oryginał (EN)

A command execution vulnerability exists in the wifi_country_code_update functionality of the home_security binary of Anker Eufy Homebase 2 2.1.6.9h. A specially-crafted set of network packets can lead to arbitrary command execution.

🤖 Analiza AI

Jak działa

Podatność znajduje się w funkcji wifi_country_code_update binarnego pliku home_security uruchomionego na urządzeniu. Poprzez wysłanie specjalnie spreparowanego zestawu pakietów sieciowych możliwe jest wstrzyknięcie złośliwych poleceń do wywołania systemowego. Podatność sklasyfikowana jest jako CWE-78 (Improper Neutralization of Special Elements used in an OS Command), co oznacza brak odpowiedniej walidacji i sanityzacji danych wejściowych przed ich przekazaniem do systemu operacyjnego.

Skutki

Atakujący może uzyskać pełną kontrolę nad urządzeniem poprzez wykonanie dowolnych poleceń systemowych, co może prowadzić do naruszenia poufności, integralności i dostępności systemu oraz potencjalnie do dalszego ataku na infrastrukturę sieciową.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Zaleca się również ograniczenie dostępu sieciowego do urządzenia na poziomie firewall oraz monitorowanie ruchu sieciowego kierowanego do urządzeń IoT w sieci lokalnej.