CVE-2017-9333
Açıklama
OpenWebif 1.2.5, URL'nin saldırgan tarafından kontrol edilen ve Truva atı paketi içeren bir web sitesine yönlendirdiği durumlarda, plugin/controllers/ipkg.py dosyasındaki IpkgController sınıfının CallOPKG fonksiyonuna giden bir URL aracılığıyla uzaktan kod çalıştırılmasına izin verir. Bu durum, güvenilmeyen kullanıcıların CallOPKG çağrılarını tetikleyebildiği ve bu kullanıcıların, yalnızca paket adı için tasarlanmış bir giriş alanına rastgele bir URL girebildiği durumlarda güvenlik etkilerine sahiptir. Bu tehdit modeli, OpenWebif'i paketleyen üçüncü taraf ürünlerin, yani set-top box ürünlerinin güncel sürümleri için geçerli olabilir. Truva atı paketleri sorunu, saldırganın tam OpenWebif erişimine sahip olduğu durumlarda güvenlik etkisine sahip DEĞİLDİR.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| openwebif_project openwebif | 1.2.5 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.