CVE-2017-2917
WysokieStreszczenie
W funkcjonalności powiadomień urządzenia Circle z Disney, działającego na firmware 2.0.1, występuje podatność umożliwiająca wstrzyknięcie poleceń systemowych. Specjalnie skonstruowane pakiety sieciowe mogą wywołać tę podatność poprzez wysłanie żądania HTTP.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do wykonania nieautoryzowanych poleceń w systemie, co może prowadzić do poważnych naruszeń bezpieczeństwa w organizacji.
Rekomendacja
Zaleca się aktualizację firmware do najnowszej wersji, aby usunąć tę podatność oraz monitorowanie ruchu sieciowego w celu wykrywania potencjalnych prób ataku.
Inne podatności w Circle with Disney, firmware 2.0.1
Zobacz wszystkie- CVE-2017-2916Wysokie
W systemie Circle z Disney, działającym na firmware 2.0.1, występuje podatność w funkcji /api/CONFIG/restore. Specjalnie skonstruowane pakiety sieciowe mogą spowodować nadpisanie dowolnego pliku.
- CVE-2017-2915Wysokie
W urządzeniu Circle with Disney działającym na firmware 2.0.1 występuje podatność w funkcjonalności konfiguracji WiFi, która pozwala na wykonanie dowolnych poleceń powłoki poprzez specjalnie skonstruowany SSID. Atakujący musi wysłać kilka żądań HTTP oraz skonfigurować punkt dostępowy, do którego urządzenie ma dostęp.
- CVE-2017-2890Wysokie
W systemie Circle z Disney, działającym na firmware 2.0.1, występuje podatność w funkcji /api/CONFIG/restore, która umożliwia wstrzyknięcie poleceń systemowych. Atakujący może wysłać specjalnie skonstruowane pakiety sieciowe, aby wykorzystać tę lukę.
- CVE-2017-2884Wysokie
W funkcjonalności aktualizacji zdjęcia użytkownika w urządzeniu Circle z Disney, działającym na firmware 2.0.1, występuje podatność, która może być wykorzystana. Powtarzający się zestaw specjalnie przygotowanych wywołań API może spowodować uszkodzenie pamięci, co prowadzi do unieruchomienia urządzenia.
- CVE-2017-2883Wysokie
W systemie Circle z Disney, działającym na firmware 2.0.1, występuje podatność w funkcjonalności aktualizacji bazy danych. Specjalnie skonstruowane pakiety sieciowe mogą spowodować wykonanie dowolnego kodu na urządzeniu.
- CVE-2017-2882Wysokie
W systemie Circle z Disney, działającym na oprogramowaniu w wersji 2.0.1, występuje podatność w funkcji aktualizacji serwera. Specjalnie skonstruowane pakiety sieciowe mogą spowodować nadpisanie wrażliwych plików, co prowadzi do wykonania kodu.
- CVE-2017-2881Wysokie
W funkcjonalności aktualizacji torlist w urządzeniu Circle z oprogramowaniem firmware 2.0.1 występuje podatność, która może być wykorzystana przez atakującego. Specjalnie skonstruowane pakiety sieciowe mogą spowodować uruchomienie skryptu powłoki dostarczonego przez atakującego.
- CVE-2017-12094Wysokie
W urządzeniu Circle with Disney działającym na firmware 2.0.1 występuje podatność w analizie kanałów WiFi. Specjalnie skonstruowany SSID może spowodować wykonanie dowolnych poleceń sed przez urządzenie.
- CVE-2017-12084Wysokie
W funkcjonalności zdalnego sterowania urządzenia Circle z Disney istnieje podatność typu backdoor w wersji oprogramowania 2.0.1. Atakujący może wysłać określony zestaw pakietów sieciowych, co pozwala na zdalne uruchomienie serwera SSH na urządzeniu, tworząc trwały backdoor.
Oryginalny opis (angielski, źródło NVD)
An exploitable vulnerability exists in the notifications functionality of Circle with Disney running firmware 2.0.1. Specially crafted network packets can cause an OS command injection. An attacker can send an HTTP request to trigger this vulnerability.