PT-2025-29893 · Lilin · Lilin Digital Video Recorder

360 Netlab · Publicado 2025-07-16 · Atualizado 2025-10-27 · CVE-2025-34132

Positive Technologies (AI Summary) · Pt

CVSS v4.0

9.3

Crítica

Vetor base

AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas LILIN Digital Video Recorder (DVR) versões anteriores a 2.0b60 20200207

Descrição Existe uma vulnerabilidade de injeção de comandos nos dispositivos LILIN Digital Video Recorder (DVR). O serviço web em /z/zbin/dvr box não sanitiza adequadamente a entrada fornecida ao campo Server dentro da configuração NTPUpdate. Isso permite que atacantes remotos injetem e executem comandos arbitrários como root ao fornecer dados XML manipulados à interface DVRPOST.

Recomendações Atualize o LILIN Digital Video Recorder (DVR) para a versão 2.0b60 20200207 ou posterior.

Correção

OS Command Injection

RCE

Enumeração de Fraquezas

CWE-78

CWE-20

Identificadores relacionados

CVE-2025-34132

Produtos afetados

Lilin Digital Video Recorder

Referências · 8

• https://meritlilin.com/assets/uploads/support/file/M00158-TW.pdf · Correção, Aviso do Fabricante
• https://ducklingstudio.blog.fc2.com/blog-entry-400.html · Nota
• https://twitter.com/CVEnew/status/1945604325553955124 · Publicação no Twitter
• https://vulncheck.com/advisories/lilin-dvr-multiple-vulnerabilities · Nota
• https://t.me/cvetracker/28015 · Publicação no Telegram
• https://blog.netlab.360.com/multiple-botnets-are-spreading-using-lilin-dvr-0-day · Nota
• https://t.me/cveNotify/140561 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2025-34132 · Nota de Segurança