CVE-2017-2850
WysokieStreszczenie
W interfejsie zarządzania siecią w kamerach Foscam C1 Indoor HD z oprogramowaniem aplikacyjnym 2.52.2.37, specjalnie skonstruowane żądanie HTTP może umożliwić wstrzyknięcie dowolnych znaków do pliku pureftpd.passwd podczas zmiany nazwy użytkownika, co pozwala na ominięcie ograniczeń chroot w serwerze FTP.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do uzyskania nieautoryzowanego dostępu do systemu plików serwera FTP, co może prowadzić do poważnych naruszeń bezpieczeństwa danych.
Rekomendacja
Zaleca się aktualizację oprogramowania kamer Foscam C1 do najnowszej wersji, aby usunąć tę podatność oraz wdrożenie dodatkowych środków zabezpieczających dla serwera FTP.
Inne podatności w Foscam C1 Indoor HD cameras, firmware 2.52.2.37
Zobacz wszystkie- CVE-2017-2851Wysokie
W interfejsie zarządzania siecią kamer Foscam C1 Indoor HD z oprogramowaniem aplikacyjnym 2.52.2.37, specjalnie skonstruowane żądanie HTTP może spowodować przepełnienie bufora.
- CVE-2017-2848Wysokie
W interfejsie zarządzania siecią kamer Foscam C1 Indoor HD z oprogramowaniem aplikacyjnym 2.52.2.37, specjalnie skonstruowane żądanie HTTP może umożliwić użytkownikowi wstrzyknięcie dowolnych znaków powłoki podczas ręcznej konfiguracji sieci, co prowadzi do wstrzyknięcia poleceń.
- CVE-2017-2847Wysokie
W interfejsie zarządzania siecią kamer Foscam C1 Indoor HD z oprogramowaniem aplikacyjnym 2.52.2.37, specjalnie skonstruowane żądanie HTTP może umożliwić użytkownikowi wstrzyknięcie dowolnych znaków powłoki podczas ręcznej konfiguracji sieci, co prowadzi do wstrzyknięcia poleceń.
Oryginalny opis (angielski, źródło NVD)
In the web management interface in Foscam C1 Indoor HD cameras with application firmware 2.52.2.37, a specially crafted HTTP request can allow for a user to inject arbitrary characters in the pureftpd.passwd file during a username change, which in turn allows for bypassing chroot restrictions in the FTP server. An attacker can simply send an HTTP request to the device to trigger this vulnerability.