CVE-2025-34033
Təsvir
Embedded Linux cihazlarında işləyən Blue Angel Software Suite proqram təminatında, webctrl.cgi skriptindəki ping_addr parametri vasitəsilə ƏMƏLİYYAT sistemi əmrinin inyeksiyası zəifliyi mövcuddur. Tətbiq, daxil edilən məlumatları sistem səviyyəli ping əmrinə ötürməzdən əvvəl onları lazımi qaydada təmizləmir. Autentifikasiya olunmuş hücumçu, /cgi-bin/webctrl.cgi?action=pingtest_update ünvanına göndərilən xüsusi hazırlanmış GET sorğusunda ping_addr parametrinə shell meta simvolları əlavə etməklə ixtiyari əmrləri inyeksiya edə bilər. Əmrin nəticələri tətbiqin veb interfeysində əks olunur və bu, hücumçulara nəticələri birbaşa görmək imkanı verir. İnterfeysə giriş əldə etmək və bu boşluqdan istifadə etmək üçün standart və ya arxa qapı (backdoor) etibarnamələrdən istifadə oluna bilər. Uğurlu istismar, root istifadəçisi kimi ixtiyari əmrlərin icrasıyla nəticələnir. İstismara dair sübutlar Shadowserver Foundation tərəfindən 2025-01-26 UTC tarixində müşahidə edilmişdir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| 5vtechnologies blue_angel_software_suite | Aralıq göstərilməyib | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.