PT-2025-12693 · H3C · H3C Magic Nx30 Pro+4
Qwen
·
Publicado
2025-03-24
·
Atualizado
2025-04-11
·
CVE-2025-2731
CVSS v2.0
7.7
Alta
| Vetor | AV:A/AC:L/Au:S/C:C/I:C/A:C |
Nome do Software Vulnerável e Versões Afetadas
H3C Magic NX15 versões até V100R014
H3C Magic NX30 Pro versões até V100R014
H3C Magic NX400 versões até V100R014
H3C Magic R3010 versões até V100R014
H3C Magic BE18000 versões até V100R014
Descrição
Uma vulnerabilidade crítica foi identificada na série H3C Magic, afetando uma funcionalidade desconhecida do arquivo "/api/wizard/getDualbandSync" do componente Manipulador de Requisições HTTP POST. A manipulação resulta em injeção de comandos. O ataque pode ser executado remotamente. O exploit foi divulgado publicamente e pode ser utilizado. O fabricante foi contatado antecipadamente sobre esta divulgação, mas não respondeu de nenhuma forma.
Recomendações
Para H3C Magic NX15 versões até V100R014, considere desativar o endpoint da API
/api/wizard/getDualbandSync até que um patch esteja disponível.
Para H3C Magic NX30 Pro versões até V100R014, considere desativar o endpoint da API /api/wizard/getDualbandSync até que um patch esteja disponível.
Para H3C Magic NX400 versões até V100R014, considere desativar o endpoint da API /api/wizard/getDualbandSync até que um patch esteja disponível.
Para H3C Magic R3010 versões até V100R014, considere desativar o endpoint da API /api/wizard/getDualbandSync até que um patch esteja disponível.
Para H3C Magic BE18000 versões até V100R014, considere desativar o endpoint da API /api/wizard/getDualbandSync até que um patch esteja disponível.
Como medida de contorno temporária, restrinja o acesso ao componente Manipulador de Requisições HTTP POST para minimizar o risco de exploração.Exploit
Correção
Special Elements Injection
Command Injection
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
H3C Magic Be18000
H3C Magic Nx15
H3C Magic Nx30 Pro
H3C Magic Nx400
H3C Magic R3010