Qihoo 360 D603-2・D600-2・D606-6に遠隔からOSコマンドを実行される脆弱性
概要
Qihoo 360のD603-2、D600-2、D606-6の6.3.2までのファームウェアに、タイムゾーン通知の処理に含まれるOSコマンド注入の脆弱性が見つかりました。攻撃は遠隔から行える可能性があり、悪用コードはすでに公開されています。修正版の6.4.0へアップグレードすることが勧められています。
AI要約
SecPulse が外部の生成 AI を使って作った要約です。誤りを含むことがあります。重要な判断の前に、下の原文と参照URLを確認してください。
Qihoo 360のD603-2、D600-2、D606-6の6.3.2までのファームウェアに、タイムゾーン通知の処理に含まれるOSコマンド注入の脆弱性が見つかりました。攻撃は遠隔から行える可能性があり、悪用コードはすでに公開されています。修正版の6.4.0へアップグレードすることが勧められています。
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
A vulnerability was determined in Qihoo 360 D603-2, D600-2 and D606-6 up to 6.3.2. This vulnerability affects the function on_push_message of the file /fs2/bin/iscm of the component Timezone Push Handler. Executing a manipulation of the argument tz can lead to os command injection. The attack may be launched remotely. The exploit has been publicly disclosed and may be utilized. Upgrading to version 6.4.0 is able to resolve this issue. Upgrading the affected component is advised. Firmware 6.4.0 gates the path with a new check_timezone_parameter validation (verified by VulDB vulnerability analysis team via disassembly).
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web vuldb.com
- web vuldb.com
- web vuldb.com
- web vuldb.com
- web gist.github.com
- web nvd.nist.gov
- web github.com