🚨 CVE-2024-45352 – Xiaomi Smarthome Remote-Code-Ausführung (RCE)

📌 Zusammenfassung

Eine kritische Schwachstelle (CVE-2024-45352) wurde in der Xiaomi Smarthome-Anwendung entdeckt, die eine nicht authentifizierte Remote-Code-Ausführung (RCE) durch unsachgemäße Eingabevalidierung im internen API-Parser ermöglicht. Diese Schwachstelle kann von einem Angreifer im lokalen Netzwerk ausgenutzt werden, um beliebige Befehle auf dem betroffenen System auszuführen.

🛡️ CVE-ID

• CVE: CVE-2024-45352
• CVSS (geschätzt): 8.8 (Hoch)
• Vektor: Netzwerk
• Angriffskomplexität: Niedrig
• Erforderliche Berechtigungen: Keine
• Benutzerinteraktion: Keine

🧪 Proof of Concept (PoC)

Das folgende PoC demonstriert die RCE über eine bösartig gestaltete Anfrage an die lokale API von Xiaomi Smarthome:

curl -X POST http://<target_ip>:<port>/api/parse --data '{"script":"system('id')"}'```