PT-2024-8798 · Advantech · Advantech Eki-6333Ac-1Gpo+1
Diego Zaffaroni
·
Publicado
2024-10-23
·
Atualizado
2024-11-29
·
CVE-2024-50374
CVSS v2.0
10
Crítica
| Vetor | AV:N/AC:L/Au:N/C:C/I:C/A:C |
Nome do software vulnerável e versões afetadas:
Advantech EKI-6333AC-2G, versões 1.6.3 e anteriores
Advantech EKI-6333AC-2GD, versões 1.6.3 e anteriores
Advantech EKI-6333AC-1GPO, versões 1.2.1 e anteriores
Descrição:
Foi descoberta uma vulnerabilidade na operação “capture packages” dos dispositivos da série EKI-6333AC da Advantech, que pode ser explorada por usuários remotos não autenticados para executar comandos maliciosos com privilégios de root. O problema está relacionado à neutralização inadequada de elementos especiais usados em um comando do sistema operacional, permitindo que invasores injetem comandos arbitrários. Não é necessária autenticação para interagir com o serviço vulnerável “edgserver”, que está habilitado por padrão nos pontos de acesso.
Recomendações:
Para as versões 1.6.3 e anteriores do Advantech EKI-6333AC-2G, considere desativar o serviço “edgserver” ou restringir o acesso a ele até que um patch esteja disponível.
Para as versões 1.6.3 e anteriores do Advantech EKI-6333AC-2GD, considere desativar o serviço “edgserver” ou restringir o acesso a ele até que um patch esteja disponível.
Para as versões 1.2.1 e anteriores do Advantech EKI-6333AC-1GPO, considere desativar o serviço “edgserver” ou restringir o acesso a ele até que um patch esteja disponível.
No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.
OS Command Injection
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Advantech Eki-6333Ac-1Gpo
Advantech Eki-6333Ac-2G