CURO UC300 IP電話におけるOSコマンドインジェクション

Curo UC300 5.42.1.7.1.63R1の管理パネルにおけるOSコマンドインジェクションの脆弱性により、ローカルの攻撃者が「IP Addr」パラメータを介して任意のOSコマンドを注入できる可能性があります。

PoC: https://github.com/restdone/CVE-2025-57457/blob/main/os_commandinject.mp4

手順

1. UC300の管理パネルにログインします（電話機のIPアドレスとポート80）
2. Networkに移動し、次にDiagnosticsを選択します
3. IP AddrフィールドにOSコマンドを注入します
4. Startをクリックし、電話機上でLinuxコマンドを実行します。

タイムライン

2025年7月3日:

この問題をベンダーに報告しました。ベンダーは同日中に返答しました。

2025年7月4日:

ベンダーはさらなる調査と確認のため、この問題を社内で提起しました。

2025年9月19日:

ベンダーはこの問題を確認し、調査を実施し、更新されたファームウェアを開発し、更新されたファームウェアをテストして、影響を受ける端末の本番環境に展開しました。