CVE-2022-33150

Command injection w funkcji instalacji pakietów Robustel R1510

CVSS 9.8v3.1pub. 2022-10-25upd. 2024-11-21

W urządzeniu Robustel R1510 z firmware w wersji 3.1.16 wykryto podatność typu OS command injection w mechanizmie instalacji pakietów js_package. Atakujący zdalnie, bez uwierzytelnienia, może wykonać dowolne polecenia systemowe na urządzeniu.

▸ Pokaż oryginał (EN)

An OS command injection vulnerability exists in the js_package install functionality of Robustel R1510 3.1.16. A specially-crafted network request can lead to arbitrary command execution. An attacker can send a sequence of requests to trigger this vulnerability.

🤖 Analiza AI

Jak działa

Podatność znajduje się w funkcji instalacji pakietów js_package. Atakujący wysyła specjalnie spreparowaną sekwencję żądań sieciowych, które nie są odpowiednio walidowane przed przekazaniem do powłoki systemowej. Wstrzyknięte polecenia są wykonywane z uprawnieniami procesu obsługującego żądanie. Do wywołania podatności wymagane jest wysłanie więcej niż jednego żądania w określonej kolejności.

Skutki

Atakujący może uzyskać pełną kontrolę nad urządzeniem poprzez wykonanie dowolnych poleceń systemu operacyjnego, co skutkuje potencjalnym naruszeniem poufności, integralności i dostępności systemu.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Zaleca się również ograniczenie dostępu sieciowego do interfejsu zarządzania urządzenia wyłącznie do zaufanych hostów oraz monitorowanie nieoczekiwanych żądań kierowanych do funkcji instalacji pakietów.