Kiloview E3 NDIエンコーダに脆弱性、1.30で修正
Summary
Kiloview E3 NDIエンコーダのファームウェアに、静的ルート設定を悪用して root 権限で任意のOSコマンドを実行できる脆弱性が見つかりました。管理画面にログインできる権限を持つ人物が悪用でき、機器の完全な乗っ取りにつながります。1.30 より前の版を使っている場合は 1.30 へ更新し、管理画面の公開範囲も見直してください。
AI summary
Written by an external AI model and may contain mistakes. Check the original description and references below before acting on it.
Kiloview E3 NDIエンコーダのファームウェアに、静的ルート設定を悪用して root 権限で任意のOSコマンドを実行できる脆弱性が見つかりました。管理画面にログインできる権限を持つ人物が悪用でき、機器の完全な乗っ取りにつながります。1.30 より前の版を使っている場合は 1.30 へ更新し、管理画面の公開範囲も見直してください。
Affected packages
| Ecosystem | Package | Affected | Fixed |
|---|---|---|---|
| Kiloview | E3 Firmware |
< 1.30 |
1.30 |
Original description The description as published by the source.
The network management service on affected Kiloview E3 NDI encoder firmware fails to sanitize one field used when configuring static routes via the web management API. An authenticated web user with permission to configure static routes can exploit this to execute arbitrary operating system commands as root, and the malicious configuration persists across reboots. Successful exploitation could result in full device compromise, including exposure of stored credentials and cryptographic material.
Source: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
References
- web ics-cert@hq.dhs.gov
- web ics-cert@hq.dhs.gov
- web ics-cert@hq.dhs.gov
- web nvd.nist.gov
- web kiloview.com
- web github.com