CVE-2025-70328
Təsvir
TOTOLINK X6000R v9.4.0cu.1498_B20250826 versiyasında /usr/sbin/shttpd icra edilə bilən faylının NTPSyncWithHost handler-ində ƏMƏLİYYAT sistemi əmrinin inyeksiyası zəifliyi mövcuddur. host_time parametri sub_40C404 vasitəsilə əldə edilir və CsteSystem vasitəsilə date -s shell əmrinə ötürülür. Girişin ilk iki tokeni yoxlanılsa da, sətirin qalan hissəsi təmizlənmir ki, bu da autentifikasiya olunmuş hücumçulara shell meta simvolları vasitəsilə ixtiyari shell əmrlərini icra etməyə imkan verir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| totolink x6000r_firmware | 9.4.0cu.1498_b20250826 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.