CVE-2017-2890
WysokieStreszczenie
W systemie Circle z Disney, działającym na firmware 2.0.1, występuje podatność w funkcji /api/CONFIG/restore, która umożliwia wstrzyknięcie poleceń systemowych. Atakujący może wysłać specjalnie skonstruowane pakiety sieciowe, aby wykorzystać tę lukę.
Ocena ryzyka
Podatność ta może prowadzić do nieautoryzowanego wykonania poleceń na systemie, co stwarza poważne zagrożenie dla bezpieczeństwa organizacji.
Rekomendacja
Zaleca się aktualizację firmware'u do najnowszej wersji, aby usunąć tę lukę oraz monitorowanie ruchu sieciowego w celu wykrycia potencjalnych prób ataku.
Inne podatności w Circle with Disney firmware 2.0.1
Zobacz wszystkie- CVE-2017-2917Wysokie
W funkcjonalności powiadomień urządzenia Circle z Disney, działającego na firmware 2.0.1, występuje podatność umożliwiająca wstrzyknięcie poleceń systemowych. Specjalnie skonstruowane pakiety sieciowe mogą wywołać tę podatność poprzez wysłanie żądania HTTP.
- CVE-2017-2916Wysokie
W systemie Circle z Disney, działającym na firmware 2.0.1, występuje podatność w funkcji /api/CONFIG/restore. Specjalnie skonstruowane pakiety sieciowe mogą spowodować nadpisanie dowolnego pliku.
- CVE-2017-2915Wysokie
W urządzeniu Circle with Disney działającym na firmware 2.0.1 występuje podatność w funkcjonalności konfiguracji WiFi, która pozwala na wykonanie dowolnych poleceń powłoki poprzez specjalnie skonstruowany SSID. Atakujący musi wysłać kilka żądań HTTP oraz skonfigurować punkt dostępowy, do którego urządzenie ma dostęp.
- CVE-2017-2884Wysokie
W funkcjonalności aktualizacji zdjęcia użytkownika w urządzeniu Circle z Disney, działającym na firmware 2.0.1, występuje podatność, która może być wykorzystana. Powtarzający się zestaw specjalnie przygotowanych wywołań API może spowodować uszkodzenie pamięci, co prowadzi do unieruchomienia urządzenia.
- CVE-2017-2883Wysokie
W systemie Circle z Disney, działającym na firmware 2.0.1, występuje podatność w funkcjonalności aktualizacji bazy danych. Specjalnie skonstruowane pakiety sieciowe mogą spowodować wykonanie dowolnego kodu na urządzeniu.
- CVE-2017-2882Wysokie
W systemie Circle z Disney, działającym na oprogramowaniu w wersji 2.0.1, występuje podatność w funkcji aktualizacji serwera. Specjalnie skonstruowane pakiety sieciowe mogą spowodować nadpisanie wrażliwych plików, co prowadzi do wykonania kodu.
- CVE-2017-2881Wysokie
W funkcjonalności aktualizacji torlist w urządzeniu Circle z oprogramowaniem firmware 2.0.1 występuje podatność, która może być wykorzystana przez atakującego. Specjalnie skonstruowane pakiety sieciowe mogą spowodować uruchomienie skryptu powłoki dostarczonego przez atakującego.
- CVE-2017-12094Wysokie
W urządzeniu Circle with Disney działającym na firmware 2.0.1 występuje podatność w analizie kanałów WiFi. Specjalnie skonstruowany SSID może spowodować wykonanie dowolnych poleceń sed przez urządzenie.
- CVE-2017-12084Wysokie
W funkcjonalności zdalnego sterowania urządzenia Circle z Disney istnieje podatność typu backdoor w wersji oprogramowania 2.0.1. Atakujący może wysłać określony zestaw pakietów sieciowych, co pozwala na zdalne uruchomienie serwera SSH na urządzeniu, tworząc trwały backdoor.
Oryginalny opis (angielski, źródło NVD)
An exploitable vulnerability exists in the /api/CONFIG/restore functionality of Circle with Disney running firmware 2.0.1. Specially crafted network packets can cause an OS command injection. An attacker can send an HTTP request trigger this vulnerability.