CVE-2026-107861
KrytyczneCVSS 9.9Streszczenie
Usługa sterowania systemem w firmware enkodera Kiloview E3 NDI nie sanityzuje parametru hostname przyjmowanego przez endpoint nazewnictwa urządzenia i przekazuje go bez cudzysłowów do polecenia powłoki. Uwierzytelniony użytkownik webowy z dostępem do tej funkcji może wstawić znaki specjalne i wykonać dowolne polecenia systemu operacyjnego jako root, co prowadzi do pełnego przejęcia urządzenia.
Ocena ryzyka
Umożliwia uwierzytelnionemu użytkownikowi webowemu wykonanie poleceń jako root i całkowite przejęcie urządzenia. Może skutkować utratą poufności danych, modyfikacją konfiguracji i wykorzystaniem urządzenia do dalszych ataków.
Rekomendacja
Należy wdrożyć aktualizację firmware od Kiloview, gdy tylko będzie dostępna. Do czasu poprawki zaleca się ograniczenie dostępu do funkcji nazewnictwa urządzenia wyłącznie do zaufanych administratorów.
Inne podatności w Kiloview E3 NDI encoder firmware
Zobacz wszystkie- CVE-2026-92450Wysokie
Framework uwierzytelniania w firmware enkodera Kiloview E3 NDI podpisuje sesyjne tokeny JSON Web Token przy użyciu sekretu HMAC-SHA256 zakodowanego na stałe w obrazie firmware, identycznego we wszystkich wdrożonych urządzeniach. Atakujący z dostępem do publicznie dystrybuowanego firmware może odzyskać ten sekret i sfałszować dowolne tokeny sesji, w tym administracyjne, bez ważnych poświadczeń, co umożliwia nieuwierzytelniony dostęp do uprzywilejowanych funkcji urządzenia.
- CVE-2026-110825Wysokie
Usługa ONVIF w firmware enkodera Kiloview E3 NDI przyjmuje operacje zapisu konfiguracji hostname, DNS i NTP bez wymagania uwierzytelnienia, niezależnie od skonfigurowanego ustawienia uwierzytelniania dla tej usługi. Zdalny, nieuwierzytelniony atakujący może zmienić nazwę hosta urządzenia, przekierować rozwiązywanie DNS lub zmodyfikować źródło czasu, co umożliwia dalsze ataki, takie jak przechwytywanie ruchu lub obejście walidacji certyfikatów.
- CVE-2026-110491Wysokie
Usługę ONVIF w urządzeniu E3 można uczynić nieodpowiadającą poprzez wysyłanie zniekształconych lub niekompletnych żądań do określonych operacji. Usługa przestaje przyjmować nowe połączenia, podczas gdy reszta urządzenia działa normalnie, i automatycznie odzyskuje sprawność po pewnym czasie. Może to być wywoływane wielokrotnie przez dowolną nieuwierzytelnioną stronę z dostępem sieciowym do urządzenia.
- CVE-2026-110243Krytyczne
Usługa zarządzania siecią w firmware enkodera Kiloview E3 NDI nie waliduje nazwy interfejsu sieciowego przyjmowanej przez endpoint konfiguracji adresu utrzymania łącza przed przekazaniem jej do polecenia powłoki. Uwierzytelniony użytkownik webowy z uprawnieniami do konfiguracji sieci może wykorzystać tę lukę do wykonania dowolnych poleceń systemu operacyjnego jako root.
- CVE-2026-109122Krytyczne
Usługa zarządzania siecią w oprogramowaniu Kiloview E3 NDI encoder nie oczyszcza jednego pola używanego podczas konfiguracji tras statycznych przez API zarządzania webowego. Uwierzytelniony użytkownik webowy z uprawnieniami do konfiguracji tras statycznych może wykonać dowolne polecenia systemu operacyjnego jako root, a złośliwa konfiguracja przetrwa ponowne uruchomienia.
Oryginalny opis (angielski, źródło NVD)
The system control service on affected Kiloview E3 NDI encoder firmware fails to sanitize the hostname parameter accepted by its device naming endpoint, passing it unquoted into a shell command. An authenticated web user with access to this function can embed characters to execute arbitrary operating system commands as root, resulting in full device compromise.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS