Qihoo 360 D603-2・D600-2・D606-6に遠隔からOSコマンドを実行される脆弱性
Summary
Qihoo 360のD603-2、D600-2、D606-6の6.3.2までのファームウェアに、タイムゾーン通知の処理に含まれるOSコマンド注入の脆弱性が見つかりました。攻撃は遠隔から行える可能性があり、悪用コードはすでに公開されています。修正版の6.4.0へアップグレードすることが勧められています。
AI summary
Produced by SecPulse using an external AI model; it may contain mistakes. Check the original description and references below before acting on it.
Qihoo 360のD603-2、D600-2、D606-6の6.3.2までのファームウェアに、タイムゾーン通知の処理に含まれるOSコマンド注入の脆弱性が見つかりました。攻撃は遠隔から行える可能性があり、悪用コードはすでに公開されています。修正版の6.4.0へアップグレードすることが勧められています。
Original description The description as published by the source.
A vulnerability was determined in Qihoo 360 D603-2, D600-2 and D606-6 up to 6.3.2. This vulnerability affects the function on_push_message of the file /fs2/bin/iscm of the component Timezone Push Handler. Executing a manipulation of the argument tz can lead to os command injection. The attack may be launched remotely. The exploit has been publicly disclosed and may be utilized. Upgrading to version 6.4.0 is able to resolve this issue. Upgrading the affected component is advised. Firmware 6.4.0 gates the path with a new check_timezone_parameter validation (verified by VulDB vulnerability analysis team via disassembly).
Source: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
References
- web vuldb.com
- web vuldb.com
- web vuldb.com
- web vuldb.com
- web gist.github.com
- web nvd.nist.gov
- web github.com