Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidad en el envío de una carga útil al puerto 5001 en un sistema de administración de conferencias de ZTE (CVE-2021-21741)

Gravedad CVSS v3.1:
CRÍTICA
Tipo:
CWE-502 Deserialización de datos no confiables
Fecha de publicación:
30/08/2021
Última modificación:
05/06/2023

Descripción

Un sistema de administración de conferencias de ZTE, está afectado por una vulnerabilidad de ejecución de comandos. Dado que el servicio de objetos java de soapmonitor está habilitado por defecto, el atacante podría aprovechar esta vulnerabilidad para ejecutar comandos arbitrario mediante el envío de una carga útil deserializada al puerto 5001.

Productos y versiones vulnerables

CPE Desde Hasta
cpe:2.3:o:zte:zxv10_m910_firmware:1.2.16.01u01.01:*:*:*:*:*:*:*
cpe:2.3:o:zte:zxv10_m910_firmware:1.2.19.01u01.01:*:*:*:*:*:*:*
cpe:2.3:o:zte:zxv10_m910_firmware:1.2.20.01u01.01:*:*:*:*:*:*:*
cpe:2.3:o:zte:zxv10_m910_firmware:1.2.21.01.04:p01:*:*:*:*:*:*
cpe:2.3:h:zte:zxv10_m910:*:*:*:*:*:*:*:*


Referencias a soluciones, herramientas e información