Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidad en En ciertos dispositivos Ubiquiti, (CVE-2010-5330)

Gravedad CVSS v3.1:
CRÍTICA
Tipo:
CWE-77 Neutralización incorrecta de elementos especiales usados en un comando (Inyección de comando)
Fecha de publicación:
11/06/2019
Última modificación:
05/11/2025

Descripción

En ciertos dispositivos Ubiquiti, la Inyección de comandos existe a través de una solicitud GET para stainfo.cgi ( conocida como Mostrar información de AP) porque la variable ifname no está saneada, como lo demuestran los metacaracteres de shell. La versión fija es v4.0.1 para los productos 802.11 ISP, v5.3.5 para los productos AirMax ISP y v5.4.5 para el firmware AirSync. Por ejemplo, Nanostation5 (Air OS) está afectado.

Productos y versiones vulnerables

CPE Desde Hasta
cpe:2.3:o:ui:airos:*:*:*:*:*:*:*:* 4.0.1 (excluyendo)
cpe:2.3:o:ui:airos:*:*:*:*:*:*:*:* 4.0.2 (incluyendo) 5.3.5 (excluyendo)
cpe:2.3:o:ui:airos:*:*:*:*:*:*:*:* 5.3.6 (incluyendo) 5.4.5 (excluyendo)