PT-2022-9791 · Lanner · Iac-Ast2500A

Andrea Palanca

·

CVE-2021-26729

·

Publicado

2022-10-24

·

Atualizado

2022-12-03

CVSS v3.1

10

Crítica

VetorAV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
Nome do software vulnerável e versões afetadas
Firmware padrão da Lanner Inc IAC-AST2500A, versão 1.10.0
Descrição
O problema está relacionado a vulnerabilidades de injeção de comando e múltiplos estouros de buffer baseados em pilha na função Login handler func do spx restservice, permitindo que um invasor execute código arbitrário com os mesmos privilégios do usuário do servidor, que é o root.
Recomendações
Para o firmware padrão Lanner Inc IAC-AST2500A versão 1.10.0, considere desativar a função Login handler func até que um patch esteja disponível para impedir a exploração. Restrinja o acesso ao spx restservice para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Memory Corruption

Code Injection

Stack Overflow

Command Injection

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
dbugs@ptsecurity.com

Enumeração de Fraquezas

CWE-787CWE-94CWE-121CWE-77

Identificadores relacionados

CVE-2021-26729

Produtos afetados

Iac-Ast2500A