CVE-2024-34852
Sobre
O F-logic DataCube3 v1.0 é afetado por command injection devido a filtragem de string inadequada no ponto de execução de comando no arquivo ./admin/transceiver_schedule.php. Um atacante remoto não autenticado pode explorar essa vulnerabilidade enviando um nome de arquivo contendo command injection. A exploração bem-sucedida dessa vulnerabilidade pode permitir que o atacante execute comandos do sistema.
Análise do analista Rainforest
O DataCube3 da F-logic passa um nome de arquivo para um ponto de execução de comando sem filtrá-lo adequadamente, então um nome forjado carrega comandos de shell que o dispositivo então executa. É alcançável remotamente sem credenciais, mas a severidade avaliada é contida por uma exigência de interação do usuário no caminho de exploração, e é por isso que uma command injection completa fica em 6.3 em vez de mais alto.
Command injection num dispositivo embarcado ainda é uma primitiva séria — é uma rota direta para executar código do atacante no appliance — mas a dependência de interação e a implantação de nicho deste hardware fazem disto uma preocupação direcionada, mais do que algo explorado em massa. Onde essas unidades são implantadas, porém, um atacante que consiga dirigir o fluxo vulnerável obtém controle significativo da caixa.
Abordamos isto por meio de inventário de dispositivos e exposição. O DataCube3 é equipamento especializado, então a primeira tarefa é simplesmente saber se operamos algum e onde ficam na rede. Se estiverem isolados de acesso não confiável, o gatilho de interação somado à segmentação contém isto bem; se algum for alcançável a partir de redes gerais, a natureza de command injection lhe rende prioridade apesar da nota de faixa média.
Referências
CVEs Relacionadas
Perguntas frequentes
O que é CVE-2024-34852?
O F-logic DataCube3 v1.0 é afetado por command injection devido a filtragem de string inadequada no ponto de execução de comando no arquivo ./admin/transceiver_schedule.php. Um atacante remoto não autenticado pode explorar essa vulnerabilidade enviando um nome de arquivo contendo command injection. A exploração bem-sucedida dessa vulnerabilidade pode permitir que o atacante execute comandos do sistema.
Qual a gravidade de CVE-2024-34852?
CVE-2024-34852 tem pontuação base CVSS 3.1 de 6.3, classificada como medium. No Rainforest Risk Index — que pondera a gravidade junto com a facilidade de alcançar a falha e a amplitude do impacto — a nota é 66 de 100, na faixa elevado.
Como CVE-2024-34852 é explorada?
Segundo o vetor CVSS (CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:L): vetor de ataque Rede, complexidade de ataque Baixa, privilégios necessários Nenhum, interação do usuário Requerida. Impacto em confidencialidade Baixo, integridade Baixo e disponibilidade Baixo.
Quais produtos são afetados por CVE-2024-34852?
Os avisos públicos listam como afetados: datacube3, datacube3 firmware. Consulte as referências desta página para as versões exatas confirmadas por cada fornecedor.
Como corrigir CVE-2024-34852?
Aplique a correção publicada pelo fornecedor — as referências desta página levam aos avisos e patches originais. Quando não for possível corrigir de imediato, reduza a exposição do componente afetado e monitore tentativas de exploração. Clientes Rainforest recebem esta vulnerabilidade correlacionada aos próprios ativos e priorizada pela exposição real, não apenas pela nota.
Potencialize sua estratégia de segurança com a Rainforest
Descubra vulnerabilidades cedo, priorize ameaças críticas e proteja o que realmente importa. A Rainforest simplifica suas operações de segurança, economizando tempo e reduzindo custos, para você focar no que move o seu negócio.