CVE-2017-16957
WysokieStreszczenie
Urządzenia TP-Link TL-WVR, TL-WAR, TL-ER i TL-R pozwalają zdalnym uwierzytelnionym użytkownikom na wykonywanie dowolnych poleceń poprzez metaznaki powłoki w polu iface w poleceniu administracyjnym/diagnostycznym do cgi-bin/luci, związanym z funkcją zone_get_effect_devices w /usr/lib/lua/luci/controller/admin/diagnostic.lua w uhttpd.
Ocena ryzyka
Atakujący z odpowiednimi uprawnieniami może wykorzystać tę podatność do wykonania dowolnych poleceń na urządzeniu, co może prowadzić do przejęcia kontroli nad systemem.
Rekomendacja
Zaleca się aktualizację oprogramowania urządzeń do najnowszej wersji, aby usunąć tę podatność oraz ograniczenie dostępu do interfejsu administracyjnego tylko dla zaufanych użytkowników.
Inne podatności w TP-Link TL-WVR, TL-WAR, TL-ER, TL-R devices
Zobacz wszystkie- CVE-2017-16960Wysokie
Urządzenia TP-Link TL-WVR, TL-WAR, TL-ER i TL-R umożliwiają zdalnym uwierzytelnionym użytkownikom wykonywanie dowolnych poleceń za pomocą metaznaków powłoki w polu t_bindif w poleceniu admin/interface do cgi-bin/luci, związanym z funkcją get_device_byif w /usr/lib/lua/luci/controller/admin/interface.lua w uhttpd.
- CVE-2017-16958Wysokie
Urządzenia TP-Link TL-WVR, TL-WAR, TL-ER i TL-R umożliwiają zdalnym uwierzytelnionym użytkownikom wykonywanie dowolnych poleceń za pomocą metaznaków powłoki w polu t_bindif w poleceniu admin/bridge do cgi-bin/luci.
Oryginalny opis (angielski, źródło NVD)
TP-Link TL-WVR, TL-WAR, TL-ER, and TL-R devices allow remote authenticated users to execute arbitrary commands via shell metacharacters in the iface field of an admin/diagnostic command to cgi-bin/luci, related to the zone_get_effect_devices function in /usr/lib/lua/luci/controller/admin/diagnostic.lua in uhttpd.