Verizon · Verizon 5G Home Lvskihp Outdoorunit · CVE-2022-28369
**Nome do software vulnerável e versões afetadas**
Verizon 5G Home LVSKIHP InDoorUnit (IDU) versão 3.4.66.162
**Descrição**
O problema diz respeito à falha na validação de URLs fornecidas pelo usuário dentro da suboperação `enable ssh` da função `crtcmode` do ouvinte JSON `crtcrpc`, localizado em `/lib/functions/wnc jsonsh/crtcmode.sh`. Um invasor remoto na rede local pode explorar essa vulnerabilidade fornecendo uma URL maliciosa, e os dados dessa URL são gravados em `/usr/sbin/dropbear` e, em seguida, executados como root.
**Recomendações**
Para a versão 3.4.66.162, como solução temporária, considere desativar a suboperação `enable ssh` da função `crtcmode` até que um patch esteja disponível. Restrinja o acesso ao ouvinte JSON `crtcrpc` para minimizar o risco de exploração. Evite usar o script `crtcmode.sh` no diretório `/lib/functions/wnc jsonsh/` até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.