Kiloview E3 NDIエンコーダにroot権限のコマンド実行の弱点、修正版1.30あり
Summary
Kiloview E3 NDIエンコーダのファームウェア1.30未満に、ログインできるWeb利用者が機器のroot権限で任意のOSコマンドを実行できる弱点があります。映像配信や放送・イベント運用でこの機器を使っている組織が対象で、1.30以降へのファームウェア更新と管理画面の公開範囲の確認が必要です。実際の攻撃での悪用は、現時点で確認情報が示されていません。
AI summary
Written by an external AI model and may contain mistakes. Check the original description and references below before acting on it.
Kiloview E3 NDIエンコーダのファームウェア1.30未満に、ログインできるWeb利用者が機器のroot権限で任意のOSコマンドを実行できる弱点があります。映像配信や放送・イベント運用でこの機器を使っている組織が対象で、1.30以降へのファームウェア更新と管理画面の公開範囲の確認が必要です。実際の攻撃での悪用は、現時点で確認情報が示されていません。
Affected packages
| Ecosystem | Package | Affected | Fixed |
|---|---|---|---|
| Kiloview | E3 Firmware |
< 1.30 |
1.30 |
Original description The description as published by the source.
The system control service on affected Kiloview E3 NDI encoder firmware fails to sanitize the hostname parameter accepted by its device naming endpoint, passing it unquoted into a shell command. An authenticated web user with access to this function can embed characters to execute arbitrary operating system commands as root, resulting in full device compromise.
Source: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
References
- web ics-cert@hq.dhs.gov
- web ics-cert@hq.dhs.gov
- web ics-cert@hq.dhs.gov
- web nvd.nist.gov
- web kiloview.com
- web github.com