PT-2024-19111

CVE-2024-21880

Publicado

2024-08-10

Atualizado

2024-08-23

Descrição por

CVSS 4.0

8.6

Alta

MétricasAV:N/AC:L/AT:N/PR:H/UI:N/VC:H/VI:H/VA:H/SC:L/SI:L/SA:L/S:P/AU:Y/R:I/V:C/RE:H

Nome do software vulnerável e versões afetadas

Enphase IQ Gateway (anteriormente conhecido como Enphase), versões 4.x a 7.x

Descrição

O problema está relacionado à neutralização inadequada de elementos especiais usados em um comando, também conhecida como vulnerabilidade de injeção de comando. Essa vulnerabilidade pode ser explorada por meio do parâmetro url de um endpoint autenticado, permitindo a injeção de comando no sistema operacional.

Recomendações

Para as versões 4.x a 7.x, atualize as medidas de segurança do sistema imediatamente para garantir que a vulnerabilidade seja resolvida. Como solução temporária, considere restringir o acesso ao endpoint autenticado até que um patch esteja disponível. Evite usar o parâmetro url no endpoint afetado até que o problema seja resolvido.

Explorabilidade

Correção

Impactos

Pesquisadores

Frank Breedijk

Hidde Smit

Wietse Boonstra

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-78: Improper Neutralization of Special Elements used in an OS Command (\'OS Command Injection\')

CWE-77: Improper Neutralization of Special Elements used in a Command (\'Command Injection\')