OS Command Injection в IP-телефоне CURO UC300

Уязвимость внедрения OS-команд в панели администратора Curo UC300 5.42.1.7.1.63R1 позволяет локальным злоумышленникам внедрять произвольные OS-команды через параметр «IP Addr».

PoC: https://github.com/restdone/CVE-2025-57457/blob/main/os_commandinject.mp4

Шаги

1. Войдите в панель администратора UC300 (IP-адрес телефона и порт 80)
2. Перейдите в раздел Network, затем Diagnostics
3. Внедрите OS-команду в поле IP Addr.
4. Нажмите Start и выполните Linux-команду на телефоне.

Хронология

3 июля 2025 г.:

Сообщили о проблеме вендору. Вендор ответил в тот же день.

4 июля 2025 г.:

Вендор передал проблему внутренней команде для дальнейшего расследования и подтверждения.

19 сентября 2025 г.: