CVE-2017-9828

Krytyczne

Opublikowano: 23/06/2017(UTC)Przetłumaczono: 14/06/2026(UTC)NVD NIST

Streszczenie

Usługa webowa '/cgi-bin/admin/testserver.cgi' w większości kamer sieciowych VIVOTEK jest podatna na wstrzyknięcie poleceń powłoki, co pozwala zdalnym atakującym na wykonywanie dowolnych poleceń jako root za pomocą odpowiednio skonstruowanego żądania HTTP.

Ocena ryzyka

Podatność ta może prowadzić do pełnej kompromitacji systemu, umożliwiając atakującym przejęcie kontroli nad kamerami i ich konfiguracją.

Rekomendacja

Zaleca się aktualizację oprogramowania kamer do najnowszej wersji, która eliminuje tę podatność oraz monitorowanie logów w celu wykrycia potencjalnych prób ataków.

Oryginalny opis (angielski, źródło NVD)

'/cgi-bin/admin/testserver.cgi' of the web service in most of the VIVOTEK Network Cameras is vulnerable to shell command injection, which allows remote attackers to execute any shell command as root via a crafted HTTP request. This vulnerability is already verified on VIVOTEK Network Camera IB8369/FD8164/FD816BA; most others have similar firmware that may be affected. An attack uses shell metacharacters in the senderemail parameter.