CVE-2025-64990
ŚrednieCVSS 6.8Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 56 - wyżej niż 56% wszystkich znanych CVE
Streszczenie
W TeamViewer DEX (dawniej 1E DEX) wykryto podatność na wstrzyknięcie poleceń w instrukcji 1E-Explorer-TachyonCore-LogoffUser w wersjach przed V21.1. Nieprawidłowa walidacja danych wejściowych pozwala uwierzytelnionemu atakującemu z uprawnieniami Actioner na wstrzyknięcie dowolnych poleceń. Eksploatacja umożliwia zdalne wykonanie poleceń z podwyższonymi uprawnieniami na urządzeniach podłączonych do platformy.
Ocena ryzyka
Atakujący z uprawnieniami Actioner może zdalnie wykonać polecenia z podwyższonymi uprawnieniami na zarządzanych urządzeniach, co może prowadzić do pełnego przejęcia kontroli nad nimi. Stanowi to poważne ryzyko dla organizacji wykorzystujących TeamViewer DEX do zarządzania flotą urządzeń.
Rekomendacja
Należy jak najszybciej zaktualizować TeamViewer DEX do wersji V21.1 lub nowszej oraz ograniczyć liczbę kont z uprawnieniami Actioner do niezbędnego minimum. Zaleca się również monitorowanie nietypowych działań wykonywanych przez konta z tymi uprawnieniami.
Inne podatności w TeamViewer DEX
Zobacz wszystkie- CVE-2025-64993Średnie
W TeamViewer DEX (dawniej 1E DEX) wykryto podatność na wstrzyknięcie poleceń w instrukcji 1E-ConfigMgrConsoleExtensions. Nieprawidłowa walidacja danych wejściowych pozwala uwierzytelnionemu atakującemu z uprawnieniami Actioner na wstrzyknięcie dowolnych poleceń. Eksploatacja umożliwia zdalne wykonanie poleceń z podwyższonymi uprawnieniami na urządzeniach podłączonych do platformy.
- CVE-2025-64992Średnie
W TeamViewer DEX (dawniej 1E DEX) wykryto podatność na wstrzyknięcie poleceń w instrukcji 1E-Nomad-PauseNomadJobQueue w wersjach przed V25. Nieprawidłowa walidacja danych wejściowych pozwala uwierzytelnionemu atakującemu z uprawnieniami Actioner na wstrzyknięcie dowolnych poleceń. Eksploatacja umożliwia zdalne wykonanie poleceń z podwyższonymi uprawnieniami na urządzeniach podłączonych do platformy.
- CVE-2025-64991Średnie
W TeamViewer DEX (dawniej 1E DEX) wykryto podatność na wstrzyknięcie poleceń w instrukcji 1E-PatchInsights-Deploy w wersjach przed V15. Nieprawidłowa walidacja danych wejściowych pozwala uwierzytelnionemu atakującemu z uprawnieniami Actioner na wstrzyknięcie dowolnych poleceń. Eksploatacja umożliwia zdalne wykonanie poleceń z podwyższonymi uprawnieniami na urządzeniach podłączonych do platformy.
- CVE-2025-64989Wysokie
W TeamViewer DEX (dawniej 1E DEX) w instrukcji 1E-Explorer-TachyonCore-FindFileBySizeAndHash przed wersją V21.1 wykryto podatność na wstrzykiwanie poleceń. Niewłaściwa walidacja danych wejściowych pozwala uwierzytelnionym atakującym z uprawnieniami Actioner na wstrzykiwanie dowolnych poleceń, co umożliwia zdalne wykonywanie podniesionych poleceń na podłączonych urządzeniach.
- CVE-2025-64988Wysokie
W TeamViewer DEX (dawniej 1E DEX) w instrukcji 1E-Nomad-GetCmContentLocations przed wersją V19.2 wykryto podatność na wstrzykiwanie poleceń. Niewłaściwa walidacja danych wejściowych pozwala uwierzytelnionym atakującym z uprawnieniami Actioner na wstrzykiwanie dowolnych poleceń, co umożliwia zdalne wykonywanie podniesionych poleceń na podłączonych urządzeniach.
- CVE-2025-64987Wysokie
W TeamViewer DEX (dawniej 1E DEX) w instrukcji 1E-Explorer-TachyonCore-CheckSimpleIoC wykryto podatność na wstrzykiwanie poleceń. Niewłaściwa walidacja danych wejściowych pozwala uwierzytelnionym atakującym z uprawnieniami Actioner na wstrzykiwanie dowolnych poleceń, co umożliwia zdalne wykonywanie podniesionych poleceń na podłączonych urządzeniach.
- CVE-2025-64986Wysokie
W TeamViewer DEX (dawniej 1E DEX) w instrukcji 1E-Explorer-TachyonCore-DevicesListeningOnAPort przed wersją V21 wykryto podatność na wstrzykiwanie poleceń. Niewłaściwa walidacja danych wejściowych pozwala uwierzytelnionym atakującym z uprawnieniami Actioner na wstrzykiwanie dowolnych poleceń, co umożliwia zdalne wykonywanie podniesionych poleceń na podłączonych urządzeniach.
Oryginalny opis (angielski, źródło NVD)
A command injection vulnerability was discovered in TeamViewer DEX (former 1E DEX), specifically within the 1E-Explorer-TachyonCore-LogoffUser instruction prior V21.1. Improper input validation, allowing authenticated attackers with Actioner privileges to inject arbitrary commands. Exploitation enables remote execution of elevated commands on devices connected to the platform.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS