Vulnerabilidad en webOS (CVE-2023-6319)
Gravedad CVSS v3.1:
CRÍTICA
Tipo:
CWE-78
Neutralización incorrecta de elementos especiales usados en un comando de sistema operativo (Inyección de comando de sistema operativo)
Fecha de publicación:
09/04/2024
Última modificación:
07/02/2025
Descripción
Existe una vulnerabilidad de inyección de comandos en el método getAudioMetadata del servicio com.webos.service.attachedstoragemanager en webOS versión 4 a 7. Una serie de solicitudes especialmente manipuladas pueden llevar a la ejecución de comandos como usuario root. Un atacante puede realizar solicitudes autenticadas para desencadenar esta vulnerabilidad. * webOS 4.9.7 - 5.30.40 ejecutándose en LG43UM7000PLA * webOS 5.5.0 - 04.50.51 ejecutándose en OLED55CXPUA * webOS 6.3.3-442 (kisscurl-kinglake) - 03.36.50 ejecutándose en OLED48C1PUB * webOS 7.3.1-43 (mullet-mebin) - 33.03.85 ejecutándose en OLED55A23LA
Impacto
Puntuación base 3.x
9.10
Gravedad 3.x
CRÍTICA
Productos y versiones vulnerables
| CPE | Desde | Hasta |
|---|---|---|
| cpe:2.3:o:lg:webos:4.9.7:*:*:*:*:*:*:* | ||
| cpe:2.3:h:lg:lg43um7000pla:-:*:*:*:*:*:*:* | ||
| cpe:2.3:o:lg:webos:5.5.0:*:*:*:*:*:*:* | ||
| cpe:2.3:h:lg:oled55cxpua:-:*:*:*:*:*:*:* | ||
| cpe:2.3:o:lg:webos:6.3.3-442:*:*:*:*:*:*:* | ||
| cpe:2.3:h:lg:oled48c1pub:-:*:*:*:*:*:*:* | ||
| cpe:2.3:o:lg:webos:7.3.1-43:*:*:*:*:*:*:* | ||
| cpe:2.3:h:lg:oled55a23la:-:*:*:*:*:*:*:* |
Para consultar la lista completa de nombres de CPE con productos y versiones, ver esta página