CVE-2020-21992
Təsvir
Inim Electronics SmartLiving SmartLAN/G/SI <=6.x versiyalarında autentifikasiya olunmuş uzaqdan əmr inyeksiyası zəifliyi mövcuddur. Problem, web.cgi binary faylı vasitəsilə 'testemail' modulu çağırıldıqda 'par' POST parametrinin təmizlənməməsindən qaynaqlanır. Zəiflikdən təsirlənən CGI binary faylı (ELF 32-bit LSB executable, ARM), mailx xidmətini istifadə edərək əmr vermək üçün system() funksiyası vasitəsilə 'sh' icra ediləvəni çağırır və onun zəif sətir formatı parametri root imtiyazları ilə ƏMƏL (OS) əmr inyeksiyasına şərait yaradır. Hücumçu standart giriş məlumatlarından istifadə edərək sistem əmrlərini uzaqdan root istifadəçisi kimi icra edə və mövcud giriş nəzarətlərini yan keçə bilər.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| inim smartliving_505_firmware | v ≤ 6.0 | — |
| inim smartliving_515_firmware | v ≤ 6.0 | — |
| inim smartliving_1050_firmware | v ≤ 6.0 | — |
| inim smartliving_1050g3_firmware | v ≤ 6.0 | — |
| inim smartliving_10100l_firmware | v ≤ 6.0 | — |
| inim smartliving_10100lg3_firmware | v ≤ 6.0 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.