PT-2024-25271 · Byzoro · Byzoro Smart S80

Yu1E · Publicado 2024-04-05 · Atualizado 2024-06-04 · CVE-2024-3346

Positive Technologies (AI Summary) · Pt

CVSS v2.0

6.5

Média

Vetor base

AV:N/AC:L/Au:S/C:P/I:P/A:P

Nome do software vulnerável e versões afetadas

Byzoro Smart S80 até 20240328

Descrição

Uma vulnerabilidade crítica afeta o código desconhecido do arquivo /log/webmailattach.php. A manipulação do argumento mail file path leva à injeção de comandos no sistema operacional. Essa vulnerabilidade pode ser explorada remotamente. A exploração já foi divulgada publicamente e pode estar em uso.

Recomendações

Para o Byzoro Smart S80 até 20240328, como solução temporária, considere restringir o acesso ao arquivo /log/webmailattach.php até que um patch esteja disponível. Evite usar o argumento mail file path no arquivo afetado para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

Correção

OS Command Injection

Enumeração de Fraquezas

CWE-78

Identificadores relacionados

CVE-2024-3346

Produtos afetados

Byzoro Smart S80

Referências · 8

• 🔥 https://github.com/Yu1e/vuls/blob/main/Byzro%20Networks%20Smart%20S80%20management%20platform%20has%20rce%20vulnerability.md · Exploit
• https://vuldb.com/?ctiid.259450 · Nota
• https://vuldb.com/?submit.306277 · Nota
• https://twitter.com/VulmonFeeds/status/1776319149389512788 · Publicação no Twitter
• https://t.me/cvenotify/75841 · Publicação no Telegram
• https://twitter.com/CVEnew/status/1776276675644309602 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2024-3346 · Nota de Segurança
• https://vuldb.com/?id.259450 · Nota