CVE-2023-4212
ŚrednieCVSS 6.8Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 63 - wyżej niż 63% wszystkich znanych CVE
Streszczenie
W urządzeniach Trane XL824, XL850, XL1050 oraz Pivot istnieje podatność na wstrzykiwanie poleceń, która pozwala atakującemu na wykonanie dowolnych poleceń jako root przy użyciu specjalnie przygotowanej nazwy pliku. Wymagana jest fizyczna obecność przy urządzeniu za pomocą pendrive'a.
Ocena ryzyka
Podatność ta stwarza ryzyko nieautoryzowanego dostępu do systemu, co może prowadzić do poważnych konsekwencji dla bezpieczeństwa urządzenia i sieci. Atakujący zyskuje możliwość pełnej kontroli nad urządzeniem.
Rekomendacja
Zaleca się ograniczenie fizycznego dostępu do urządzeń oraz monitorowanie użycia portów USB. Należy również rozważyć aktualizację oprogramowania urządzeń, jeśli dostępne są poprawki.
Oryginalny opis (angielski, źródło NVD)
A command injection vulnerability exists in Trane XL824, XL850, XL1050, and Pivot thermostats allowing an attacker to execute arbitrary commands as root using a specially crafted filename. The vulnerability requires physical access to the device via a USB stick.