CVE-2025-3499
CriticalSummary
Urządzenie posiada dwa serwery WWW, które udostępniają nieautoryzowane interfejsy API REST w sieci zarządzającej (porty TCP 8084 i 8086). Wykorzystując podatność na wstrzykiwanie poleceń systemu operacyjnego przez te interfejsy API, atakujący może wysyłać dowolne polecenia, które są wykonywane z uprawnieniami administratora przez system operacyjny.
Risk Assessment
Wykorzystanie tej podatności może prowadzić do pełnej kompromitacji systemu, umożliwiając atakującemu wykonywanie dowolnych poleceń z uprawnieniami administratora. To stwarza poważne zagrożenie dla integralności i poufności danych w organizacji.
Recommendation
Zaleca się zabezpieczenie interfejsów API poprzez wprowadzenie autoryzacji oraz ograniczenie dostępu do nich tylko dla zaufanych źródeł. Należy również monitorować ruch sieciowy w celu wykrywania potencjalnych prób wykorzystania tej podatności.
Original NVD description (English source)
The device has two web servers that expose unauthenticated REST APIs on the management network (TCP ports 8084 and 8086). Exploiting OS command injection through these APIs, an attacker can send arbitrary commands that are executed with administrative permissions by the underlying operating system.