CVE-2022-36267

Airspan AirSpot 5410, versões 0.3.4.1-4 e anteriores

A vulnerabilidade diz respeito a uma injeção remota de comando sem autenticação. Ela permite que a funcionalidade ping seja acionada sem autenticação do usuário, por meio da criação de uma solicitação HTTP maliciosa e da injeção de código em um dos parâmetros, possibilitando a execução remota de código. Isso é explorado por meio do arquivo binário /home/www/cgi-bin/diagnostics.cgi, que aceita solicitações não autenticadas e dados não sanitizados. Como resultado, um agente mal-intencionado pode criar uma solicitação específica para interagir remotamente com o dispositivo.

Para as versões 0.3.4.1-4 e anteriores do Airspan AirSpot 5410, considere desativar o arquivo binário /home/www/cgi-bin/diagnostics.cgi como uma solução temporária até que um patch esteja disponível. Restrinja o acesso a este arquivo para minimizar o risco de exploração. Evite usar dados não sanitizados em solicitações HTTP para o dispositivo afetado até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.