Podatność w urządzeniu CyberData 011209 SIP Emergency Intercom umożliwia uwierzytelnionemu atakującemu przesyłanie dowolnych plików do wielu lokalizacji w systemie. Ze względu na krytyczny poziom CVSS (9.3) oraz brak wymaganych uprawnień poza uwierzytelnieniem, podatność stwarza poważne ryzyko przejęcia kontroli nad urządzeniem.
▸ Pokaż oryginał (EN)
CyberData 011209 Intercom could allow an authenticated attacker to upload arbitrary files to multiple locations within the system.
Podatność sklasyfikowana jako CWE-35 (Path Traversal: '.../.../') polega na niewystarczającej walidacji ścieżek podczas operacji przesyłania plików. Uwierzytelniony atakujący może wskazać docelową ścieżkę zawierającą sekwencje przechodzenia katalogów, co pozwala na zapisanie dowolnego pliku poza zamierzonym katalogiem docelowym. W efekcie możliwe jest umieszczenie złośliwych plików w wielu lokalizacjach systemu plików urządzenia.
Atakujący może nadpisać krytyczne pliki systemowe lub umieścić złośliwy kod w dowolnym miejscu systemu plików urządzenia, co może prowadzić do trwałego przejęcia kontroli nad interkomem, zakłócenia jego działania lub wykorzystania go jako punktu wejścia do sieci.
Należy zastosować patche dostępne u producenta zgodnie z referencjami. Zaleca się ograniczenie dostępu do interfejsu zarządzania urządzeniem wyłącznie do zaufanych adresów IP oraz stosowanie silnego uwierzytelniania. Szczegółowe informacje dostępne w poradniku CISA: https://www.cisa.gov/news-events/ics-advisories/icsa-25-155-01
CyberData 011209 SIP Emergency Intercom oraz powiązowane oprogramowanie układowe (firmware) — konkretne wersje wskazane w referencjach producenta (poradnik CISA ICS-CERT ICSA-25-155-01)
Podatność dotyczy urządzenia klasy ICS/OT (przemysłowy system kontroli dostępu/interkom). Poradnik bezpieczeństwa został opublikowany przez CISA w ramach serii ICS Advisories (ICSA-25-155-01) w dniu 2025-06-09.
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:XCyberdata 011209 Sip Emergency Intercom
HWCyberdatawszystkie wersjeCyberdata 011209 Sip Emergency Intercom Firmware
OSCyberdata< 22.0.1
Powiązane podatności
CyberData 011209 Intercom — ominięcie uwierzytelnienia w interfejsie Web
CyberData 011209 Intercom exposes features that could allow an unauthenticated to gain access and cause a...
CyberData 011209 Intercom does not properly store or protect web server admin credentials.
CyberData 011209 Intercom could allow an unauthenticated user to gather sensitive information through blind SQ...