CVE-2023-53963

Atakujący wysyła żądanie HTTP POST do skryptów login.php lub index.php, wstrzykując złośliwe polecenia powłoki systemowej w parametrze 'password'. Aplikacja nie waliduje poprawnie danych wejściowych przed przekazaniem ich do wywołania systemowego, co skutkuje wykonaniem wstrzykniętych poleceń z uprawnieniami procesu serwera WWW. Atak możliwy jest zdalnie przez sieć bez konieczności posiadania jakichkolwiek poświadczeń dostępu.

Atakujący może wykonać dowolne polecenia systemowe z uprawnieniami serwera WWW, co w praktyce umożliwia przejęcie kontroli nad urządzeniem, odczyt lub modyfikację konfiguracji, a także potencjalne użycie urządzenia jako punktu wyjścia do dalszych działań w sieci.

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Jako doraźne działanie zaradcze zaleca się izolację urządzeń od publicznego dostępu sieciowego, umieszczenie ich za firewall oraz ograniczenie dostępu do interfejsu zarządzania wyłącznie do zaufanych adresów IP.

SOUND4 IMPACT, SOUND4 FIRST, SOUND4 PULSE, SOUND4 Pulse Eco, SOUND4 Big Voice2, SOUND4 Big Voice4 — wersja firmware v2.x

Dla tej podatności dostępny jest publiczny exploit opublikowany w serwisie Exploit-DB (exploit nr 51173). Podatność została pierwotnie zgłoszona przez ZeroScience Lab (ZSL-2022-5738), co wskazuje na jej wykrycie już w 2022 roku, mimo późniejszej daty publikacji CVE.