CVE-2017-14127
KrytyczneStreszczenie
W module ping w interfejsie webowym urządzeń Technicolor TD5336 OI_Fw_v7 występuje podatność na wstrzykiwanie poleceń, która pozwala zdalnym atakującym na wykonywanie dowolnych poleceń systemowych jako root poprzez użycie metaznaków powłoki w parametrze pingAddr w mnt_ping.cgi.
Ocena ryzyka
Atakujący może uzyskać pełne uprawnienia do systemu, co może prowadzić do poważnych naruszeń bezpieczeństwa i utraty danych.
Rekomendacja
Zaleca się aktualizację oprogramowania urządzenia do najnowszej wersji, aby usunąć tę podatność oraz ograniczenie dostępu do interfejsu webowego.
Oryginalny opis (angielski, źródło NVD)
Command Injection in the Ping Module in the Web Interface on Technicolor TD5336 OI_Fw_v7 devices allows remote attackers to execute arbitrary OS commands as root via shell metacharacters in the pingAddr parameter to mnt_ping.cgi.