Matteo Strada

The pppoe wrapper vendor daemon from the Amlogic Android SDK, as shipped on Nexbox A95X (Amlogic S905/S905X) TV boxes, contains a command injection vulnerability that allows local attackers to execute arbitrary commands as root by sending crafted messages to a world-writable AF UNIX datagram socket at /dev/socket/pppoe wrapper. Attackers can send a message beginning with 'pppd pty' followed by shell metacharacters and arbitrary commands, which are passed unfiltered to system(3) and executed by /system/bin/sh -c as root, resulting in full privilege escalation.

Nexbox A95X TV boxes built on the Amlogic S905X platform contain an unauthenticated console exposed via an internal UART header on the PCB that allows physical attackers to obtain an interactive shell as uid 2000 (system) without any credentials. Attackers with physical access and a USB-to-TTL adapter can leverage this shell to reach the pppoe wrapper vendor daemon, which contains an OS command injection vulnerability executed as root, resulting in full root-level compromise of the device.

The VobSub subtitle decoder libsub vob (part of the Amlogic DroidLogic SubTitleService), as shipped on Nexbox A95X (Amlogic S905X) TV boxes, contains an infinite loop vulnerability in get vob spu() that allows unauthenticated network attackers or local users loading malicious files to trigger an unreachable loop exit condition via mismatched length fields. Attackers can send crafted AMLU data blocks over the unauthenticated tcp/10100 listener or via a malicious VobSub (.sub) file to cause the subtitle decode thread to spin at 100% CPU indefinitely, resulting in denial of service.

The VobSub subtitle decoder libsub vob (part of the Amlogic DroidLogic SubTitleService), as shipped on Nexbox A95X (Amlogic S905X) TV boxes, contains an out-of-bounds write vulnerability in vob fill pixel() that allows remote attackers to corrupt stack memory by sending a crafted SET CONTR command with an attacker-controlled alpha value that drives an unbounded array index (change data) past the end of the fixed four-element PixelDatas array. Attackers can exploit this by sending malicious VobSub data over the unauthenticated tcp/10100 socket or via a malicious .sub file to zero out adjacent stack bytes, resulting in silent stack corruption or process crash.

Um problema de injeção de CRLF existe na função `xspf char data()` dentro do plugin de playlist XSPF. Isso ocorre porque o Expat decodifica referências de caracteres numéricos XML antes do callback de dados de caracteres, permitindo que atacantes incorporem bytes literais de Carriage Return (CR) e Line Feed (LF) em campos de URI ao fornecer uma playlist XSPF maliciosa. Consequentemente, linhas de chave-valor forjadas podem ser injetadas através do campo `location` no escritor de arquivo de estado e nas respostas do protocolo MPD, especificamente nas saídas 'playlistinfo', 'currentsong' e 'listplaylist'.

Um estouro de buffer de pilha (stack buffer overflow) existe na função `pcm unpack 24be()` em `src/pcm/Pack.cxx`. Este problema permite que atacantes não autenticados corrompam a memória da pilha ao disparar uma gravação off-by-one no plugin decodificador PCM. Ao emitir dois comandos MPD que referenciam uma fonte de áudio HTTP maliciosa, um atacante pode fazer com que o loop de descompactação grave 1366 entradas em um buffer de 1365 entradas. Esse processo sobrescreve quatro bytes além do limite da matriz com três bytes controlados pelo atacante provenientes de um corpo de resposta HTTP, o que pode resultar na terminação do daemon ou potencial execução de código.

Um problema de path traversal existe no plugin de armazenamento local nas funções `LocalStorage::MapFSOrThrow()` e `LocalStorage::MapUTF8()`. A falha ocorre porque o caminho no disco é criado juntando a raiz do armazenamento com uma URI fornecida pelo usuário como strings simples sem canonicalização, permitindo que segmentos '..' permaneçam no caminho resolvido. Um invasor não autenticado pode usar o comando 'listfiles' para enumerar nomes, tamanhos e tempos de modificação de diretórios arbitrários legíveis pelo processo MPD, ou o comando 'albumart' para ler arquivos de imagem em qualquer diretório fora do `music directory` configurado.

Um problema de server-side request forgery (SSRF) existe no CurlInputPlugin. A opção `CURLOPT FOLLOWLOCATION` está ativada sem a especificação de `CURLOPT REDIR PROTOCOLS STR`, o que permite que atacantes não autenticados ignorem as restrições de esquema http/https. Ao utilizar um servidor HTTP malicioso para redirecionar solicitações para protocolos que não sejam HTTP — como gopher, ftp, sftp, ldap, dict, rtmp ou rtsp — os atacantes podem interagir com serviços de rede internos ou restritos. Isso é possível em sistemas que utilizam versões do libcurl anteriores a 7.85.0. O problema pode ser acionado por meio de comandos do MPD que iniciam buscas de URL, especificamente `add`, `readcomments`, `albumart`, `readpicture` ou `load`.

Um problema de injeção de comando de SO existe no binário 'makeRequest.cgi'. Atacantes remotos não autenticados podem executar comandos de shell arbitrários injetando entradas maliciosas nas funções `set time` ou `StartSniffer`. Isso é feito através da criação de uma requisição POST com parâmetros delimitados por e comercial (&) para ignorar a sanitização de entrada, permitindo a execução de comandos com comprimento máximo de 31 bytes por meio do comando `date` ou do processamento de parâmetros de canal.

Um problema de injeção de comando de SO existe no binário 'wireless.cgi'. Atacantes remotos não autenticados podem executar comandos de shell arbitrários injetando entradas maliciosas nos parâmetros POST `sz11gChannel` ou `PIN`. Isso é possível devido ao tratamento não sanitizado de parâmetros dentro das funções `set wifi basic()` e `set wifi do wps()`.

Um problema de injeção de comando de SO existe no binário 'internet.cgi'. Atacantes remotos não autenticados podem executar comandos de shell arbitrários injetando entradas maliciosas no parâmetro POST `gateway`. Isso ocorre devido à concatenação de parâmetros não sanitizados na função `set add routing()`, onde os comandos são executados via `popen()` e a saída parcial é refletida na resposta HTTP.

Um problema de injeção de comando de SO existe na função `reboot time()` do binário 'adm.cgi'. Atacantes remotos não autenticados podem executar comandos de shell arbitrários enviando uma requisição manipulada contendo metacaracteres de shell no parâmetro POST `reboot time` quando o `reboot enabled` está definido como 1.

Um problema de injeção de comando de SO existe no binário `firewall.cgi` em cinco manipuladores de requisição devido à validação insuficiente de entrada. Atacantes podem injetar comandos de shell arbitrários usando sintaxe de subshell ou parâmetros não filtrados. Os parâmetros afetados incluem `websURLFilter`, `websHostFilter`, `portForward`, `singlePortForward` e `ipportFilter`. Os payloads injetados persistem na NVRAM e são reexecutados a cada requisição subsequente ao `firewall.cgi`.

Um estouro de buffer baseado em pilha existe nos binários 'firewall.cgi' e 'makeRequest.cgi'. Atacantes não autenticados podem sobrescrever o endereço de retorno salvo enviando uma requisição POST com um cabeçalho `Content-Length` superior a 512 bytes. Isso é causado por uma validação de comprimento insuficiente na função `fgets()`, o que pode levar à execução de código arbitrário por meio de técnicas de return-oriented programming ou return-to-libc.

O ZIRA Group WBRM versão 7.0 está suscetível a uma vulnerabilidade de Injeção de SQL na função `referenceLookupsByTableNameAndColumnName`. O problema permite a potencial manipulação de consultas ao banco de dados por meio de entrada especialmente construída.