CVE-2023-26866

Beschreibung

GreenPacket OH736's WR-1200 Indoor Unit, OT-235 mit den Firmware-Versionen M-IDU-1.6.0.3_V1.1 und MH-46360-2.0.3-R5-GP sind anfällig für Remote-Befehlsinjektion. Befehle werden über eine Vor-Login-Ausführung ausgeführt und mit Root-Rechten ausgeführt, was eine vollständige Übernahme ermöglicht. Die Schwachstelle wurde von Lionel Musonza validiert.

Schwachstellentyp

CWE-77 Unsachgemäße Neutralisierung von Sonderzeichen in einem Befehl ('Command Injection') CWE-Quellenakzeptanzstufe NIST   CWE-94 Unsachgemäße Kontrolle der Codegenerierung ('Code Injection')

Produkthersteller

GreenPacket

Betroffene Produkt-Codebasis

OH736's WR-1200 IDU - M-IDU-1.6.0.3_V1.1 OT-235 - MH-46360-2.0.3-R5-GP

Betroffene Komponente

Engineer Benutzer-Befehlstool im Web-Dienstprogramm des Routers.

Angriffsart

Kontextabhängig

Auswirkung Codeausführung

Ja

Auswirkung Dienstverweigerung

Ja

Auswirkung Privilegienerweiterung

Ja

Auswirkung Informationsoffenlegung

Ja

Hat der Hersteller die Schwachstelle bestätigt oder anerkannt?

Nein, keine Antwort vom Hersteller.

Entdecker

Lionel Musonza

Zeitleiste