CVE-2020-24217

Опубликовано: 06 окт. 2020

Источник: nvd

CVSS3: 9.8

CVSS2: 7.5

EPSS Средний

Описание

An issue was discovered in the box application on HiSilicon based IPTV/H.264/H.265 video encoders. The file-upload endpoint does not enforce authentication. Attackers can send an unauthenticated HTTP request to upload a custom firmware component, possibly in conjunction with command injection, to achieve arbitrary code execution.

Ссылки

http://packetstormsecurity.com/files/159597/HiSilicon-Video-Encoder-Command-Injection.html
Exploit
Third Party Advisory
VDB Entry
http://packetstormsecurity.com/files/159599/HiSilicon-Video-Encoder-Malicious-Firmware-Code-Execution.html
Exploit
Third Party Advisory
VDB Entry
https://kojenov.com/2020-09-15-hisilicon-encoder-vulnerabilities/
Exploit
Third Party Advisory
https://www.kb.cert.org/vuls/id/896979
Third Party Advisory
US Government Resource
http://packetstormsecurity.com/files/159597/HiSilicon-Video-Encoder-Command-Injection.html
Exploit
Third Party Advisory
VDB Entry
http://packetstormsecurity.com/files/159599/HiSilicon-Video-Encoder-Malicious-Firmware-Code-Execution.html
Exploit
Third Party Advisory
VDB Entry
https://kojenov.com/2020-09-15-hisilicon-encoder-vulnerabilities/
Exploit
Third Party Advisory
https://www.kb.cert.org/vuls/id/896979
Third Party Advisory
US Government Resource

Уязвимые конфигурации

Конфигурация 1

Одновременно

cpe:2.3:o:szuray:iptv\/h.264_video_encoder_firmware:-:*:*:*:*:*:*:*

Одно из

cpe:2.3:h:szuray:uaioe264-1u:-:*:*:*:*:*:*:*

cpe:2.3:h:szuray:uce264-1-mini:-:*:*:*:*:*:*:*

cpe:2.3:h:szuray:uce264-1wb-mini:-:*:*:*:*:*:*:*

cpe:2.3:h:szuray:uce264-4-1u:-:*:*:*:*:*:*:*

cpe:2.3:h:szuray:uce264-8-1u:-:*:*:*:*:*:*:*

cpe:2.3:h:szuray:uhae264-16:-:*:*:*:*:*:*:*

cpe:2.3:h:szuray:uhce264-1:-:*:*:*:*:*:*:*

cpe:2.3:h:szuray:uhce264-16p32:-:*:*:*:*:*:*:*

cpe:2.3:h:szuray:uhce264-1p2:-:*:*:*:*:*:*:*

cpe:2.3:h:szuray:uhce264-1p2-1u:-:*:*:*:*:*:*:*

cpe:2.3:h:szuray:uhce264-1s:-:*:*:*:*:*:*:*

cpe:2.3:h:szuray:uhce264-1w:-:*:*:*:*:*:*:*

cpe:2.3:h:szuray:uhce264-1ws:-:*:*:*:*:*:*:*

cpe:2.3:h:szuray:uhce264-4p8:-:*:*:*:*:*:*:*

cpe:2.3:h:szuray:uhe264-1-4k:-:*:*:*:*:*:*:*

cpe:2.3:h:szuray:uhe264-16:-:*:*:*:*:*:*:*

cpe:2.3:h:szuray:uhe264-16l-3u:-:*:*:*:*:*:*:*

cpe:2.3:h:szuray:uhe264-16s-2u:-:*:*:*:*:*:*:*

cpe:2.3:h:szuray:uhe264-1l:-:*:*:*:*:*:*:*

cpe:2.3:h:szuray:uhe264-1l-4k:-:*:*:*:*:*:*:*

cpe:2.3:h:szuray:uhe264-1lw:-:*:*:*:*:*:*:*

cpe:2.3:h:szuray:uhe264-1s:-:*:*:*:*:*:*:*

cpe:2.3:h:szuray:uhe264-1s-mini:-:*:*:*:*:*:*:*

cpe:2.3:h:szuray:uhe264-1w-mini:-:*:*:*:*:*:*:*

cpe:2.3:h:szuray:uhe264-1wb-4g:-:*:*:*:*:*:*:*

cpe:2.3:h:szuray:uhe264-1wb-mini:-:*:*:*:*:*:*:*

cpe:2.3:h:szuray:uhe264-1wbs-2b:-:*:*:*:*:*:*:*

cpe:2.3:h:szuray:uhe264-1wbs-mini:-:*:*:*:*:*:*:*

cpe:2.3:h:szuray:uhe264-1ws-mini:-:*:*:*:*:*:*:*

cpe:2.3:h:szuray:uhe264-2-1u:-:*:*:*:*:*:*:*

cpe:2.3:h:szuray:uhe264-4:-:*:*:*:*:*:*:*

cpe:2.3:h:szuray:uhe264-4-1u:-:*:*:*:*:*:*:*

cpe:2.3:h:szuray:uhe264-4l-1u:-:*:*:*:*:*:*:*

cpe:2.3:h:szuray:uhe264-8:-:*:*:*:*:*:*:*

cpe:2.3:h:szuray:uhe264-8-1u:-:*:*:*:*:*:*:*

cpe:2.3:h:szuray:uhe264-8l-3u:-:*:*:*:*:*:*:*

cpe:2.3:h:szuray:uhe264-8s-2u:-:*:*:*:*:*:*:*

cpe:2.3:h:szuray:use264-16-3u:-:*:*:*:*:*:*:*

cpe:2.3:h:szuray:use264-1l:-:*:*:*:*:*:*:*

cpe:2.3:h:szuray:use264-1l-1u:-:*:*:*:*:*:*:*

cpe:2.3:h:szuray:use264-1l-mini:-:*:*:*:*:*:*:*

cpe:2.3:h:szuray:use264-1lw:-:*:*:*:*:*:*:*

cpe:2.3:h:szuray:use264-1wb-l:-:*:*:*:*:*:*:*

cpe:2.3:h:szuray:use264-4l-1u:-:*:*:*:*:*:*:*

cpe:2.3:h:szuray:use264-8-1u:-:*:*:*:*:*:*:*

cpe:2.3:h:szuray:uve264-1l:-:*:*:*:*:*:*:*

cpe:2.3:h:szuray:uve264-1lw:-:*:*:*:*:*:*:*

Конфигурация 2

Одновременно

cpe:2.3:o:szuray:iptv\/h.265_video_encoder_firmware:-:*:*:*:*:*:*:*

Одно из

cpe:2.3:h:szuray:uaioe265-1u:-:*:*:*:*:*:*:*

cpe:2.3:h:szuray:uhae265-1-mini:-:*:*:*:*:*:*:*

cpe:2.3:h:szuray:uhae265-1wb-mini:-:*:*:*:*:*:*:*

cpe:2.3:h:szuray:uhae265-4-1u:-:*:*:*:*:*:*:*

cpe:2.3:h:szuray:uhe265-1:-:*:*:*:*:*:*:*

cpe:2.3:h:szuray:uhe265-1-1u:-:*:*:*:*:*:*:*

cpe:2.3:h:szuray:uhe265-1-4k:-:*:*:*:*:*:*:*

cpe:2.3:h:szuray:uhe265-1-mini:-:*:*:*:*:*:*:*

cpe:2.3:h:szuray:uhe265-16-3u:-:*:*:*:*:*:*:*

cpe:2.3:h:szuray:uhe265-16l-3u:-:*:*:*:*:*:*:*

cpe:2.3:h:szuray:uhe265-1l:-:*:*:*:*:*:*:*

cpe:2.3:h:szuray:uhe265-1lw:-:*:*:*:*:*:*:*

cpe:2.3:h:szuray:uhe265-1s-4k:-:*:*:*:*:*:*:*

cpe:2.3:h:szuray:uhe265-1s-mini:-:*:*:*:*:*:*:*

cpe:2.3:h:szuray:uhe265-1w:-:*:*:*:*:*:*:*

cpe:2.3:h:szuray:uhe265-1w-4k:-:*:*:*:*:*:*:*

cpe:2.3:h:szuray:uhe265-1w-mini:-:*:*:*:*:*:*:*

cpe:2.3:h:szuray:uhe265-1wb-4g:-:*:*:*:*:*:*:*

cpe:2.3:h:szuray:uhe265-1wb-mini:-:*:*:*:*:*:*:*

cpe:2.3:h:szuray:uhe265-1wbs-mini:-:*:*:*:*:*:*:*

cpe:2.3:h:szuray:uhe265-2-1u:-:*:*:*:*:*:*:*

cpe:2.3:h:szuray:uhe265-4:-:*:*:*:*:*:*:*

cpe:2.3:h:szuray:uhe265-4-1u:-:*:*:*:*:*:*:*

cpe:2.3:h:szuray:uhe265-4s:-:*:*:*:*:*:*:*

cpe:2.3:h:szuray:uhe265-4s-1u:-:*:*:*:*:*:*:*

cpe:2.3:h:szuray:uhe265-8-1u:-:*:*:*:*:*:*:*

cpe:2.3:h:szuray:uhe265-8l-3u:-:*:*:*:*:*:*:*

cpe:2.3:h:szuray:uhe265-8s-1u:-:*:*:*:*:*:*:*

cpe:2.3:h:szuray:uhse265-1u:-:*:*:*:*:*:*:*

cpe:2.3:h:szuray:use265-1-1u:-:*:*:*:*:*:*:*

cpe:2.3:h:szuray:use265-1-mini:-:*:*:*:*:*:*:*

cpe:2.3:h:szuray:use265-16l-3u:-:*:*:*:*:*:*:*

cpe:2.3:h:szuray:use265-1l:-:*:*:*:*:*:*:*

cpe:2.3:h:szuray:use265-1l-1u:-:*:*:*:*:*:*:*

cpe:2.3:h:szuray:use265-1l-mini:-:*:*:*:*:*:*:*

cpe:2.3:h:szuray:use265-1lw:-:*:*:*:*:*:*:*

cpe:2.3:h:szuray:use265-1w-mini:-:*:*:*:*:*:*:*

cpe:2.3:h:szuray:use265-1wb-4g:-:*:*:*:*:*:*:*

cpe:2.3:h:szuray:use265-1wb-l:-:*:*:*:*:*:*:*

cpe:2.3:h:szuray:use265-1wb-mini:-:*:*:*:*:*:*:*

cpe:2.3:h:szuray:use265-2-1u:-:*:*:*:*:*:*:*

cpe:2.3:h:szuray:use265-4-1u:-:*:*:*:*:*:*:*

cpe:2.3:h:szuray:use265-4l-1u:-:*:*:*:*:*:*:*

cpe:2.3:h:szuray:use265-8-1u:-:*:*:*:*:*:*:*

cpe:2.3:h:szuray:uve265-1:-:*:*:*:*:*:*:*

cpe:2.3:h:szuray:uve265-1w:-:*:*:*:*:*:*:*

Конфигурация 3

Одновременно

cpe:2.3:o:jtechdigital:h.264_iptv_encoder_1080p\@60hz_firmware:-:*:*:*:*:*:*:*

cpe:2.3:h:jtechdigital:h.264_iptv_encoder_1080p\@60hz:-:*:*:*:*:*:*:*

Конфигурация 4

Одновременно

cpe:2.3:o:provideoinstruments:vecaster-hd-h264_firmware:-:*:*:*:*:*:*:*

cpe:2.3:h:provideoinstruments:vecaster-hd-h264:-:*:*:*:*:*:*:*

Конфигурация 5

Одновременно

cpe:2.3:o:provideoinstruments:vecaster-hd-hevc_firmware:-:*:*:*:*:*:*:*

cpe:2.3:h:provideoinstruments:vecaster-hd-hevc:-:*:*:*:*:*:*:*

Конфигурация 6

Одновременно

cpe:2.3:o:provideoinstruments:vecaster-4k-hevc_firmware:-:*:*:*:*:*:*:*

cpe:2.3:h:provideoinstruments:vecaster-4k-hevc:-:*:*:*:*:*:*:*

Конфигурация 7

Одновременно

cpe:2.3:o:provideoinstruments:vecaster-hd-sdi_firmware:-:*:*:*:*:*:*:*

cpe:2.3:h:provideoinstruments:vecaster-hd-sdi:-:*:*:*:*:*:*:*

EPSS

Процентиль: 97%

0.31939

Средний

9.8 Critical

CVSS3

7.5 High

CVSS2

Дефекты

CWE-306

Связанные уязвимости

GHSA-vwf4-cwv7-v664

github

больше 3 лет назад

BDU:2020-05643

CVSS3: 9.8

fstec

больше 5 лет назад

Уязвимость микропрограммного обеспечения чипсета HiSilicon Hi3520D, связанная с отсутствием аутентификации для критичной функции, позволяющая нарушителю вызвать отказ в обслуживании или выполнить произвольный код

EPSS

Процентиль: 97%

0.31939

Средний

9.8 Critical

CVSS3

7.5 High

CVSS2

Дефекты

CWE-306