CVE-2021-40222

एप्लिकेशन: Rittal CMC PU III वेब प्रबंधन

डिवाइस: CMC PU III 7030.000

सॉफ्टवेयर रिवीजन: V3.11.00_2

हार्डवेयर रिवीजन: V3.00

हमले का प्रकार: दूरस्थ कोड निष्पादन

समाधान: सॉफ्टवेयर रिवीजन V3.17.10 या बाद में अपडेट करें

सारांश: वेब एप्लिकेशन नेटवर्क TCP/IP कॉन्फ़िगरेशन पृष्ठ पर उपयोगकर्ता इनपुट को सैनिटाइज़ करने में विफल रहता है। यह हमलावर को डिवाइस पर रूट के रूप में कमांड इंजेक्ट करने की अनुमति देता है, जो डेटा प्राप्त होने के कुछ सेकंड बाद निष्पादित हो जाते हैं। एक हमलावर डिवाइस में एक बैकडोर बना सकता है या बस एक रिवर्स शेल निष्पादित कर सकता है जो हमलावर मशीन से जुड़ता है। सफल शोषण के लिए डिवाइस के प्रबंधन तक एक वैध या हाईजैक्ड सत्र के साथ एडमिन एक्सेस आवश्यक है।

समयरेखा:

• 2021-08-03 समस्याएं खोजी गईं
• 2021-08-08 विक्रेता से ई-मेल के माध्यम से पहला संपर्क
• 2021-08-23 विक्रेता से ई-मेल के माध्यम से दूसरा संपर्क
• 2021-09-01 भेद्यता पैच की पुष्टि हुई