CVE-2017-11588
KrytyczneStreszczenie
W urządzeniach Cisco DDR2200 i DDR2201v1 występuje podatność na zdalne wykonanie poleceń poprzez metaznaki powłoki w parametrze pingAddr do URI waitPingqry.cgi. Wynik polecenia jest widoczny w pliku /PingMsg.cmd.
Ocena ryzyka
Atakujący może zdalnie wykonywać polecenia na podatnych urządzeniach, co może prowadzić do przejęcia kontroli nad systemem. To stwarza poważne zagrożenie dla bezpieczeństwa sieci.
Rekomendacja
Zaleca się aktualizację oprogramowania urządzeń do najnowszej wersji, aby usunąć tę podatność. Należy również ograniczyć dostęp do interfejsu administracyjnego urządzeń.
Oryginalny opis (angielski, źródło NVD)
On Cisco DDR2200 ADSL2+ Residential Gateway DDR2200B-NA-AnnexA-FCC-V00.00.03.45.4E and DDR2201v1 ADSL2+ Residential Gateway DDR2201v1-NA-AnnexA-FCC-V00.00.03.28.3 devices, there is remote command execution via shell metacharacters in the pingAddr parameter to the waitPingqry.cgi URI. The command output is visible at /PingMsg.cmd.