PT-2025-27629 · Gfi · Gfi Kerio Control
Z3Er01
·
Publicado
2025-06-24
·
Atualizado
2025-09-17
·
CVE-2025-34071
CVSS v3.1
9.8
Crítica
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
Nome do Software Vulnerável e Versões Afetadas:
GFI Kerio Control versão 9.4.5
Descrição:
Uma vulnerabilidade de execução remota de código permite que atacantes com acesso administrativo façam upload e executem código arbitrário através do recurso de atualização de firmware. O mecanismo de atualização do sistema aceita arquivos .img não assinados, que podem ser modificados para incluir scripts maliciosos dentro dos componentes
upgrade.sh ou da imagem de disco. Essas imagens de atualização modificadas não são validadas quanto à autenticidade ou integridade e são executadas pelo sistema após o upload, permitindo acesso root.Recomendações:
Para o GFI Kerio Control versão 9.4.5, considere desativar o recurso de atualização de firmware até que um patch esteja disponível para prevenir o upload e a execução de código arbitrário. Restrinja o acesso ao mecanismo de atualização do sistema para minimizar o risco de exploração. Evite usar arquivos .img não assinados no recurso de atualização de firmware até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.
Exploit
RCE
Missing Authentication
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Gfi Kerio Control