Kiloview E3にroot権限でコマンド実行の欠陥、1.30で修正
Summary
Kiloview の NDI エンコーダ E3 のファームウェアに、ログインした利用者が機器の root 権限で任意の OS コマンドを実行できる欠陥が見つかりました。E3 を運用している組織が対象で、修正版の 1.30 が公開されています。まず版を確認し、1.30 以降へ更新したうえで、管理画面に到達できる範囲と設定権限を持つアカウントを見直してください。
AI summary
Written by an external AI model and may contain mistakes. Check the original description and references below before acting on it.
Kiloview の NDI エンコーダ E3 のファームウェアに、ログインした利用者が機器の root 権限で任意の OS コマンドを実行できる欠陥が見つかりました。E3 を運用している組織が対象で、修正版の 1.30 が公開されています。まず版を確認し、1.30 以降へ更新したうえで、管理画面に到達できる範囲と設定権限を持つアカウントを見直してください。
Affected packages
| Ecosystem | Package | Affected | Fixed |
|---|---|---|---|
| Kiloview | E3 Firmware |
< 1.30 |
1.30 |
Original description The description as published by the source.
The network management service on affected Kiloview E3 NDI encoder firmware fails to validate the network interface name accepted by its link maintenance address configuration endpoint before passing it to a shell command, unlike sibling handlers that perform the same validation. An authenticated web user with permission to configure network settings can exploit this to execute arbitrary operating system commands as root.
Source: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
References
- web ics-cert@hq.dhs.gov
- web ics-cert@hq.dhs.gov
- web ics-cert@hq.dhs.gov
- web nvd.nist.gov
- web kiloview.com
- web github.com