CVE-2023-26866

描述

GreenPacket OH736 的 WR-1200 室内单元和 OT-235，固件版本分别为 M-IDU-1.6.0.3_V1.1 和 MH-46360-2.0.3-R5-GP，存在远程命令注入漏洞。命令通过登录前执行方式执行，并以 root 权限运行，从而可完全接管设备。该漏洞已由 Lionel Musonza 验证。

漏洞类型

CWE-77 对命令中使用的特殊元素的不当中和（'Command Injection'） CWE 来源接受级别 NIST   CWE-94 对代码生成的不当控制（'Code Injection'）

产品供应商

GreenPacket

受影响产品代码库

OH736 的 WR-1200 IDU - M-IDU-1.6.0.3_V1.1 OT-235 - MH-46360-2.0.3-R5-GP

受影响组件

路由器 Web 实用程序中的工程师用户命令工具。

攻击类型

上下文相关

影响：代码执行

True

影响：拒绝服务

True

影响：权限提升

True

影响：信息泄露

True

供应商是否已确认或承认该漏洞？

否，供应商未作回应。

发现者

Lionel Musonza

时间线