Podatność typu command injection w module HTTP RPC urządzeń Lantronix EDS5000 pozwala nieuwierzytelnionemu atakującemu na wstrzyknięcie dowolnych poleceń systemowych poprzez pole nazwy użytkownika podczas logowania. Wstrzyknięte polecenia są wykonywane z uprawnieniami root, co czyni tę lukę wyjątkowo niebezpieczną.
▸ Pokaż oryginał (EN)
An issue was discovered in Lantronix EDS5000 2.1.0.0R3. The HTTP RPC module executes a shell command to write logs when user's authantication fails. The username is directly concatenated with the command without any sanitization. This allow attackers to inject arbitrary OS commands into the username parameter. Injected commands are executed with root privileges.
Moduł HTTP RPC urządzeń Lantronix EDS5000 wykonuje polecenie powłoki (shell command) w celu zapisania logów w przypadku nieudanego uwierzytelnienia użytkownika. Nazwa użytkownika podana przez klienta jest bezpośrednio dołączana do tego polecenia bez żadnej walidacji ani sanityzacji (CWE-94 – improper code injection). Atakujący może zatem skonstruować odpowiednio spreparowaną wartość pola username, która spowoduje wykonanie dowolnych poleceń systemowych. Cały proces odbywa się bez konieczności posiadania jakichkolwiek poświadczeń – podatność jest eksploitowalna przez sieć, bez uwierzytelnienia.
Atakujący uzyskuje możliwość wykonania dowolnych poleceń systemu operacyjnego z uprawnieniami root, co oznacza pełne przejęcie kontroli nad urządzeniem, w tym możliwość odczytu i modyfikacji danych, instalacji złośliwego oprogramowania oraz zakłócenia działania usług.
Należy zastosować patche dostępne u producenta zgodnie z referencjami. Szczegółowe informacje zawiera poradnik ICS CISA ICSA-26-069-02 (https://www.cisa.gov/news-events/ics-advisories/icsa-26-069-02). Do czasu aktualizacji zaleca się ograniczenie dostępu sieciowego do interfejsu HTTP urządzeń wyłącznie do zaufanych hostów (np. przy użyciu firewall lub segmentacji sieci).
Lantronix EDS5032 Firmware, Lantronix EDS5032, Lantronix EDS5008 Firmware, Lantronix EDS5008, Lantronix EDS5016 Firmware – wersja oprogramowania 2.1.0.0R3 (seria EDS5000)
Podatność opisana w poradniku ICS CISA ICSA-26-069-02. Dotyczy urządzeń z kategorii OT/ICS (przemysłowe serwery portów szeregowych), które często są wdrażane w środowiskach infrastruktury krytycznej.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HLantronix Eds5008
HWLantronixwszystkie wersjeLantronix Eds5008 Firmware
OSLantronix2.1.0.0r3Lantronix Eds5016
HWLantronixwszystkie wersjeLantronix Eds5016 Firmware
OSLantronix2.1.0.0r3Lantronix Eds5032
HWLantronixwszystkie wersjeLantronix Eds5032 Firmware
OSLantronix2.1.0.0r3
CISA KEV — szczegółyi
- Dostawcai
- Lantronix
- Produkti
- EDS5000
- Data dodania do KEVi
- 23 czerwca 2026
- Termin remediation (USA)i
- 26 czerwca 2026(po terminie)
Zastosuj mitygacje zgodnie z instrukcjami producenta, zapewniając zgodność ze wskazówkami CISA BOD 26-04 Prioritizing Security Updates Based on Risk (patrz URL w Notes) i CISA "Forensics Triage Requirements" (patrz URL w Notes). Postępuj zgodnie z obowiązującymi wytycznymi BOD 26-04 dla usług cloud lub zaprzestań korzystania z produktu, jeśli mitygacje są niedostępne. Interesariusze są odpowiedzialni za ocenę ekspozycji internetowej każdego zasobu i zapewnienie zgodności z wytycznymi patching BOD 26-04.
▸ Pokaż oryginał (EN)
Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.
Urządzenie Lantronix EDS5000 zawiera lukę podatności na code injection, która może pozwolić atakującym na wstrzyknięcie dowolnych poleceń OS do parametru username. Wstrzyknięte polecenia są wykonywane z uprawnieniami root.
▸ Pokaż oryginał (EN)
Lantronix EDS5000 contains a code injection vulnerability that could allow attackers to inject arbitrary OS commands into the username parameter. Injected commands are executed with root privileges.
Powiązane podatności
OS command injection w Lantronix EDS5000 — wykonanie kodu jako root
An issue was discovered in Lantronix EDS5000 2.1.0.0R3. An authenticated attacker can inject OS commands into ...
An issue was discovered in Lantronix EDS5000 2.1.0.0R3. The Log Info page allows users to see log files by spe...
An issue was discovered in Lantronix EDS5000 2.1.0.0R3. An authenticated attacker can inject OS commands into ...
Pominięcie uwierzytelnienia w urządzeniach Lantronix EDS3000PS