CVE-2026-2329
KrytyczneStreszczenie
Występuje podatność na przepełnienie bufora na stosie w punkcie końcowym API HTTP /cgi-bin/api.values.get, która nie wymaga uwierzytelnienia. Zdalny atakujący może wykorzystać tę podatność do zdalnego wykonania kodu (RCE) z uprawnieniami roota na docelowym urządzeniu.
Ocena ryzyka
Podatność ta stwarza poważne ryzyko dla organizacji, ponieważ umożliwia zdalne przejęcie kontroli nad urządzeniem bez potrzeby uwierzytelnienia. Dotyczy to wszystkich sześciu modeli urządzeń w serii, co zwiększa potencjalny zasięg ataku.
Rekomendacja
Zaleca się natychmiastowe zaktualizowanie urządzeń do najnowszej wersji oprogramowania, aby usunąć tę podatność. Należy również monitorować logi i wprowadzić dodatkowe zabezpieczenia w celu ochrony przed potencjalnymi atakami.
Oryginalny opis (angielski, źródło NVD)
An unauthenticated stack-based buffer overflow vulnerability exists in the HTTP API endpoint /cgi-bin/api.values.get. A remote attacker can leverage this vulnerability to achieve unauthenticated remote code execution (RCE) with root privileges on a target device. The vulnerability affects all six device models in the series: GXP1610, GXP1615, GXP1620, GXP1625, GXP1628, and GXP1630.