CVE-2022-36267
Açıklama
Airspan AirSpot 5410 versiyon 0.3.4.1-4 ve altı sürümlerde kimlik doğrulaması gerektirmeyen bir uzaktan komut enjeksiyonu zafiyeti bulunmaktadır. Parametrelerden birine kod enjekte edilerek oluşturulan kötü niyetli bir HTTP isteği ile ping işlevselliği, kullanıcı kimlik doğrulaması olmadan çağrılabilmekte ve bu durum uzaktan kod çalıştırmaya olanak tanımaktadır. Bu zafiyet, kimlik doğrulanmamış istekleri ve temizlenmemiş verileri kabul eden /home/www/cgi-bin/diagnostics.cgi ikili dosyası üzerinden istismar edilmektedir. Sonuç olarak, kötü niyetli bir aktör belirli bir istek oluşturabilir ve cihazla uzaktan etkileşime girebilir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| airspan airspot_5410_firmware | v ≤ 0.3.4.1-4 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.