CVE-2021-40222

Приложение: Rittal CMC PU III Web management

Устройства: CMC PU III 7030.000

Версия ПО: V3.11.00_2

Версия аппаратного обеспечения: V3.00

Тип атаки: Удаленное выполнение кода

Решение: Обновите версию ПО до V3.17.10 или новее

Краткое описание: Веб-приложение не очищает пользовательский ввод на странице настройки TCP/IP сети. Это позволяет злоумышленнику внедрять команды от имени root на устройстве, которые будут выполнены после получения данных через несколько секунд. Злоумышленник может создать бэкдор на устройстве или просто выполнить обратную оболочку, которая подключается к машине злоумышленника. Для успешной эксплуатации требуется доступ администратора к управлению устройством с действующей или украденной сессией.

Хронология:

• 2021-08-03 Обнаружены проблемы
• 2021-08-08 Первый контакт с вендором по электронной почте
• 2021-08-23 Второй контакт с вендором по электронной почте
• 2021-09-01 Подтверждение патча уязвимости