PT-2025-29891 · Lilin · Lilin Digital Video Recorder

360 Netlab · Publicado 2025-07-16 · Atualizado 2025-07-17 · CVE-2025-34129

Positive Technologies (AI Summary) · Pt

CVSS v4.0

8.7

Alta

Vetor base

AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas LILIN Gravador de Vídeo Digital (DVR) versões anteriores a 2.0b60 20200207

Descrição Existe uma vulnerabilidade de injeção de comandos devido à sanitização insuficiente dos campos de Servidor FTP e NTP na configuração do serviço. Um invasor com acesso à interface de configuração pode carregar um arquivo XML malicioso com comandos de shell injetados nesses campos. Em sincronizações de configuração subsequentes, esses comandos são executados com privilégios elevados. Esta vulnerabilidade foi explorada em ambiente real pelas botnets Moobot.

Recomendações Atualize para a versão de firmware 2.0b60 20200207 ou posterior.

Correção

OS Command Injection

RCE

Enumeração de Fraquezas

CWE-78

CWE-20

Identificadores relacionados

CVE-2025-34129

Produtos afetados

Lilin Digital Video Recorder

Referências · 7

• https://t.me/cvenotify/129246 · Publicação no Telegram
• https://meritlilin.com/assets/uploads/support/file/M00158-TW.pdf · Correção, Aviso do Fabricante
• https://blog.netlab.360.com/multiple-botnets-are-spreading-using-lilin-dvr-0-day · Nota
• https://t.me/cvetracker/28013 · Publicação no Telegram
• https://twitter.com/CVEnew/status/1945604327663702419 · Publicação no Twitter
• https://vulncheck.com/advisories/lilin-dvr-multiple-vulnerabilities · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2025-34129 · Nota de Segurança