Vulnerabilidad en los parámetros controlados por el usuario dentro de las URLs DMACC en la página de Ajustes del portal de Ingeniería en Verizon 5G Home LVSKIHP OutDoorUnit (ODU) (CVE-2022-28374)

Gravedad CVSS v3.1:

ALTA

Tipo:

CWE-78 Neutralización incorrecta de elementos especiales usados en un comando de sistema operativo (Inyección de comando de sistema operativo)

Fecha de publicación:

14/07/2022

Última modificación:

08/08/2023

Descripción

Verizon 5G Home LVSKIHP OutDoorUnit (ODU) versión 3.33.101.0, no sanea apropiadamente los parámetros controlados por el usuario dentro de las URLs DMACC en la página de Ajustes del portal de Ingeniería. Un atacante remoto autenticado en la red local puede inyectar meta caracteres de shell en el archivo /usr/lib/lua/5.1/luci/controller/admin/settings.lua para lograr una ejecución de código remota como root

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H CVSS v3.1 Severidad y Métricas:

Puntuación base: 8.80 ALTA
Vector: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Bajo
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Alto