HP Poly EagleEye Cube USBに管理サービスの脆弱性 権限のない攻撃者に遠隔からコマンドを実行されるおそれ
Summary
HP Poly EagleEye Cube USBの1.3.1-001267では、USB経由でアクセスできる管理サービスのAPI機能に脆弱性があり、管理者権限のない攻撃者でも機器上でroot権限のコマンドを実行できるおそれがあります。機器を完全に掌握され、データへの不正アクセスや永続的なバックドアを仕込まれるおそれもあり、CVSSは7.2です。修正版の有無については、最新の情報を確認してください。
AI summary
Produced by SecPulse using an external AI model; it may contain mistakes. Check the original description and references below before acting on it.
HP Poly EagleEye Cube USBの1.3.1-001267では、USB経由でアクセスできる管理サービスのAPI機能に脆弱性があり、管理者権限のない攻撃者でも機器上でroot権限のコマンドを実行できるおそれがあります。機器を完全に掌握され、データへの不正アクセスや永続的なバックドアを仕込まれるおそれもあり、CVSSは7.2です。修正版の有無については、最新の情報を確認してください。
Original description The description as published by the source.
On HP Poly EagleEye Cube USB 1.3.1-001267 devices, one of the API functions available on a management service accessible via USB allows command injection. This allows attackers (without administrator-level access) to execute arbitrary commands on the device as root. This is due to insufficient input validation that allows an attacker to control part of the CSR certificate generation process. This provides full root access that permits full control over device operations, unauthorized access to data, and the ability to place a persistent backdoor on the device (which could operate via the Ethernet port).
Source: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
References
- web support.hp.com
- web docs.poly.com
- web github.com
- web nvd.nist.gov
- web github.com