PT-2022-4991 · Planex · Planex Mzk-Dp150N

0Xsamy · Publicado 2022-08-05 · Atualizado 2022-08-23 · CVE-2021-37289

Positive Technologies (AI Summary) · Pt

CVSS v2.0

9.0

Alta

Vetor base

AV:N/AC:L/Au:S/C:C/I:C/A:C

Nome do software vulnerável e versões afetadas

Planex MZK-DP150N, versões 1.42 a 1.43

Descrição

O problema está relacionado a permissões inseguras na interface de administração, permitindo que invasores executem comandos do sistema como root por meio do arquivo etc ro/web/syscmd.asp. Isso pode ser explorado por um invasor remoto para executar comandos arbitrários usando um arquivo syscmd.asp especialmente criado.

Recomendações

Para as versões 1.42 e 1.43 do Planex MZK-DP150N, considere restringir o acesso ao arquivo etc ro/web/syscmd.asp para impedir a exploração até que uma correção esteja disponível.

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

Incorrect Default Permissions

Hidden Functionality

Enumeração de Fraquezas

CWE-276

CWE-912

Identificadores relacionados

BDU:2022-06195

CVE-2021-37289

Produtos afetados

Planex Mzk-Dp150N

Referências · 7

• 🔥 https://samy.link/blog/a-hidden-web-shell-in-the-plug-in-wireless-planex-mzk-dp150n · Exploit
• https://nvd.nist.gov/vuln/detail/CVE-2021-37289 · Nota de Segurança
• https://github.com/advisories/GHSA-5fwq-7x9f-h7rq · Nota
• http://planex.co.jp/products/mzk-dp150n · Aviso do Fabricante
• https://jvn.jp/en/vu/JVNVU98291763 · Nota
• https://osv.dev/vulnerability/CVE-2021-37289 · Aviso do Fabricante
• https://bdu.fstec.ru/vul/2022-06195 · Nota de Segurança