CVE-2017-20216
KrytyczneStreszczenie
Oprogramowanie układowe kamery termalnej FLIR PT-Series w wersji 8.0.0.64 zawiera wiele podatności na zdalne wstrzykiwanie poleceń bez uwierzytelnienia w skrypcie controllerFlirSystem.php. Atakujący mogą wykonywać dowolne polecenia systemowe jako root, wykorzystując niesanitizowane parametry POST w funkcji execFlirSystem() przez wywołania shell_exec().
Ocena ryzyka
Wykorzystanie tej podatności może prowadzić do pełnej kompromitacji systemu, umożliwiając atakującym zdalne wykonywanie poleceń z uprawnieniami administratora. To stwarza poważne zagrożenie dla integralności i poufności danych w organizacji.
Rekomendacja
Zaleca się aktualizację oprogramowania układowego kamery do najnowszej wersji, która eliminuje te podatności. Dodatkowo, warto wdrożyć odpowiednie zabezpieczenia, aby ograniczyć dostęp do skryptów wykonawczych.
Oryginalny opis (angielski, źródło NVD)
FLIR Thermal Camera PT-Series firmware version 8.0.0.64 contains multiple unauthenticated remote command injection vulnerabilities in the controllerFlirSystem.php script. Attackers can execute arbitrary system commands as root by exploiting unsanitized POST parameters in the execFlirSystem() function through shell_exec() calls. Exploitation evidence was observed by the Shadowserver Foundation on 2026-01-06 (UTC).