CVE-2024-45179
Açıklama
za-internet C-MOR Video Surveillance 5.2401 ve 6.00PL01 sürümlerinde bir sorun tespit edilmiştir. Yetersiz girdi doğrulaması nedeniyle, C-MOR web arayüzü OS komut enjeksiyonu saldırılarına karşı savunmasızdır. Yeni X.509 sertifikaları oluşturma veya zaman dilimini ayarlama gibi farklı işlevlerin OS komut enjeksiyonu saldırılarına açık olduğu belirlenmiştir. generatesslreq.pml betiğindeki bu OS komut enjeksiyonu zafiyetleri, düşük yetkili kimliği doğrulanmış bir kullanıcı tarafından, HTTP POST verilerindeki (örneğin city parametresi) kabuk meta karakterleri aracılığıyla Linux kullanıcısı www-data bağlamında komutlar çalıştırmak için istismar edilebilir. settimezone.pml veya setdatetime.pml betiklerindeki (örneğin year parametresi üzerinden) OS komut enjeksiyonu zafiyeti ise C-MOR web arayüzü için yönetici kullanıcısı gerektirmektedir. Ayrıca bir yetki yükseltme zafiyeti istismar edilerek, C-MOR sistemi üzerinde root ayrıcalıklarıyla komutlar çalıştırmak mümkündür.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| c-mor c-mor_video_surveillance | 5.2401, 6.00 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.