CVE-2024-48073
KrytyczneStreszczenie
Urządzenie sunniwell HT3300 w wersjach przed 1.0.0.B022.2 jest podatne na niewłaściwe uprawnienia. Program /usr/local/bin/update, odpowiedzialny za aktualizację oprogramowania, ma ustawiony tryb wykonania sudo NOPASSWD, co stwarza ryzyko wstrzyknięcia poleceń przez atakującego.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do uzyskania podwyższonych uprawnień roota, co może prowadzić do pełnej kontroli nad urządzeniem i potencjalnych szkód w infrastrukturze organizacji.
Rekomendacja
Zaleca się aktualizację urządzenia do wersji 1.0.0.B022.2 lub nowszej oraz przegląd i ograniczenie uprawnień do programu update, aby zminimalizować ryzyko wstrzyknięcia poleceń.
Oryginalny opis (angielski, źródło NVD)
sunniwell HT3300 before 1.0.0.B022.2 is vulnerable to Insecure Permissions. The /usr/local/bin/update program, which is responsible for updating the software in the HT3300 device, is given the execution mode of sudo NOPASSWD. This program is vulnerable to a command injection vulnerability, which could allow an attacker to pass commands to this program via command line arguments to gain elevated root privileges.