CVE-2022-45182

Pi-Star DV Dashboard — błędna obsługa parametru module umożliwia atak zdalny

CVSS 9.8v3.1pub. 2022-11-11upd. 2025-05-01

Pi-Star_DV_Dash (interfejs webowy dla Pi-Star Digital Voice Dashboard) przed commitem 5aa194d nieprawidłowo obsługuje parametr 'module'. Podatność otrzymała krytyczny wynik CVSS 9.8, co wskazuje na możliwość przeprowadzenia ataku zdalnie bez uwierzytelnienia i bez interakcji użytkownika.

▸ Pokaż oryginał (EN)

Pi-Star_DV_Dash (for Pi-Star DV) before 5aa194d mishandles the module parameter.

🤖 Analiza AI

Jak działa

Podatność wynika z nieprawidłowej obsługi (mishandling) parametru 'module' przekazywanego do aplikacji webowej — sklasyfikowana jako CWE-233, dotycząca niewłaściwej obsługi parametrów. Atakujący może dostarczyć spreparowaną wartość tego parametru poprzez sieć, bez konieczności posiadania jakichkolwiek uprawnień ani interakcji ze strony użytkownika. Szczegółowy mechanizm eksploatacji nie został ujawniony w opisie, jednak wektor ataku (sieciowy, bez uwierzytelnienia) sugeruje potencjalne command injection lub podobną klasę błędów związaną z przetwarzaniem danych wejściowych.

Skutki

Udane wykorzystanie podatności może prowadzić do pełnego naruszenia poufności, integralności i dostępności systemu — co odpowiada najwyższemu możliwemu wynikowi CVSS dla tych składowych. Atakujący zdalny i nieuwierzytelniony może potencjalnie przejąć kontrolę nad urządzeniem z uruchomionym oprogramowaniem Pi-Star.

Mitygacja

Należy zaktualizować Pi-Star_DV_Dash do wersji zawierającej commit 5aa194d lub nowszej. Poprawki zostały wprowadzone w commitach: 0ad7d00210fc2c0eb7073e5ed429ac265ccfebbd, 1e46533f4051648bc40478d99201f19241bbaa41 oraz 5aa194df3dfc92cc21f6604bbda32268f4a624ce dostępnych w repozytorium GitHub projektu. Zaleca się również ograniczenie dostępu do interfejsu webowego Pi-Star wyłącznie do zaufanych sieci.

Kogo dotyczy

Pi-Star_DV_Dash (Pi-Star Digital Voice Dashboard) we wszystkich wersjach wcześniejszych niż commit 5aa194df3dfc92cc21f6604bbda32268f4a624ce

Uwagi

Podatność jest powiązana ze zgłoszeniem w issue #169 w repozytorium GitHub projektu AndyTaylorTweet/Pi-Star_DV_Dash. Pi-Star jest popularnym oprogramowaniem stosowanym przez hobbystów łączności cyfrowej (DMR, D-Star, Fusion) zazwyczaj instalowanym na Raspberry Pi.