PT-2024-3580 · Lenovo · Lenovo Cp-Cb-10+3

Publicado 2024-04-09 · Atualizado 2024-04-15 · CVE-2023-4856

Positive Technologies (AI Summary) · Pt

CVSS v2.0

9.0

Alta

Vetor base

AV:N/AC:L/Au:S/C:C/I:C/A:C

Nome do software vulnerável e versões afetadas

Lenovo ThinkSystem, ThinkAgile, NeXtScale e Lenovo CP-CB-10 (versões afetadas não especificadas)

SMM/SMM2 e FPC (versões afetadas não especificadas)

Descrição

Foi identificada uma vulnerabilidade de string de formato no SMM/SMM2 e no FPC que poderia permitir que um usuário autenticado executasse comandos arbitrários em um endpoint de API específico. Esse problema existe devido à falta de medidas para neutralizar elementos especiais usados no comando do sistema operacional. A exploração da vulnerabilidade pode permitir que um invasor remoto execute comandos arbitrários.

Recomendações

No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

OS Command Injection

Enumeração de Fraquezas

CWE-78

Identificadores relacionados

BDU:2024-03885

CVE-2023-4856

Produtos afetados

Lenovo Cp-Cb-10

Lenovo Thinksystem

Nextscale

Thinkagile

Referências · 8

• https://t.me/cvenotify/76832 · Publicação no Telegram
• https://twitter.com/VulmonFeeds/status/1779976791903379821 · Publicação no Twitter
• https://bdu.fstec.ru/vul/2024-03885 · Nota de Segurança
• https://twitter.com/CVEnew/status/1779937546224443732 · Publicação no Twitter
• https://vuldb.com/ru/?id.260820 · Nota
• https://support.lenovo.com/us/en/product_security/LEN-140420 · Nota
• https://t.me/cvenotify/76854 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2023-4856 · Nota de Segurança