CVE-2017-5675

Wysokie

Opublikowano: 13/03/2017(UTC)Przetłumaczono: 15/06/2026(UTC)NVD NIST

Streszczenie

W aplikacji webowej na niestandardowym serwerze GoAhead, używanym w kamerach IP Foscam, Vstarcam oraz wielu modelach białych etykiet, występuje podatność na wstrzykiwanie poleceń. Formularz wysyłania maili na stronie mail.htm pozwala atakującemu na wstrzyknięcie polecenia do pola receiver1, które zostanie wykonane z uprawnieniami roota.

Ocena ryzyka

Podatność ta może prowadzić do przejęcia kontroli nad systemem przez atakującego, co stwarza poważne zagrożenie dla bezpieczeństwa danych i infrastruktury organizacji.

Rekomendacja

Zaleca się aktualizację oprogramowania serwera GoAhead oraz wprowadzenie odpowiednich zabezpieczeń w formularzach, aby zapobiec wstrzykiwaniu poleceń.

Inne podatności w GoAhead web server

CVE-2017-5674Krytyczne
Podatność w niestandardowym serwerze WWW GoAhead używanym w kamerach IP Foscam, Vstarcam i wielu innych modelach umożliwia atakującemu skonstruowanie źle sformułowanego żądania HTTP, które ujawnia plik konfiguracyjny z hasłem logowania.

Oryginalny opis (angielski, źródło NVD)

A command-injection vulnerability exists in a web application on a custom-built GoAhead web server used on Foscam, Vstarcam, and multiple white-label IP camera models. The mail-sending form in the mail.htm page allows an attacker to inject a command into the receiver1 field in the form; it will be executed with root privileges.