Описание
Уязвимость устройства для защиты приборов и гаджетов Bitdefender BOX 2 связана с ошибками при обработке URL-адресов методом API /api/download_image. Эксплуатация уязвимости может позволить нарушителю произвольные команды в целевой системе, посредством отправки из приложения для смартфона вредоносного файла «full_ws.tar.gz» и создания ложного сервера «nimbus.bitdefender.net»
Вендор
Наименование ПО
Версия ПО
Тип ПО
Операционные системы и аппаратные платформы
Уровень опасности уязвимости
Возможные меры по устранению уязвимости
Статус уязвимости
Наличие эксплойта
Информация об устранении
Идентификаторы других систем описаний уязвимостей
- CVE
EPSS
8.1 High
CVSS3
6.2 Medium
CVSS2
Связанные уязвимости
A command injection vulnerability has been discovered in the bootstrap stage of Bitdefender BOX 2, versions 2.1.47.42 and 2.1.53.45. The API method `/api/download_image` unsafely handles the production firmware URL supplied by remote servers, leading to arbitrary execution of system commands. In order to exploit the condition, an unauthenticated attacker should impersonate a infrastructure server to trigger this vulnerability.
A command injection vulnerability has been discovered in the bootstrap stage of Bitdefender BOX 2, versions 2.1.47.42 and 2.1.53.45. The API method `/api/download_image` unsafely handles the production firmware URL supplied by remote servers, leading to arbitrary execution of system commands. In order to exploit the condition, an unauthenticated attacker should impersonate a infrastructure server to trigger this vulnerability.
EPSS
8.1 High
CVSS3
6.2 Medium
CVSS2