Grandstream 產品有多個命令插入弱點
critical Nessus Plugin ID 123520
語系：
概要
遠端裝置易受攻擊，且可能遭到入侵說明
Grandstream 裝置有多個弱點。- 受影響的裝置如下：GAC2500、GVC3202、GXP2200、GXV3275、GXV3240、GXV3611IR_HD、GXV3611IR_HD、GXV3611IR_HD、UCM6204、GXV3370、WP820、GWN7000 和 GWN7610。- 「priority」和「logserver」參數中有一個遠端命令執行弱點。未經驗證的遠端攻擊者可惡意利用這些弱點，繞過驗證並使用 root 權限執行任意命令。- 「filename」和「file-backup」參數中有一個盲目式命令插入弱點。未經驗證的遠端攻擊者可惡意利用此弱點，繞過驗證並取得 root 殼層。解決方案
依照公告，更新至修正版本。另請參閱
Plugin 詳細資訊
嚴重性: Critical
ID: 123520
檔案名稱: grandstream_2019_003.nasl
版本: 1.9
類型: remote
系列: Misc.
已發布: 2019/4/1
已更新: 2022/2/9
支援的感應器: Nessus
風險資訊
VPR
風險因素: High
分數: 7.4
CVSS v2
風險因素: Critical
基本分數: 10
時間分數: 8.3
媒介: CVSS2#AV:N/AC:L/Au:N/C:C/I:C/A:C
CVSS 評分資料來源: CVE-2019-10661
CVSS v3
風險因素: Critical
基本分數: 9.8
時間分數: 9.1
媒介: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
時間媒介: CVSS:3.0/E:F/RL:O/RC:C
弱點資訊
必要的 KB 項目: installed_sw/Grandstream Phone
可被惡意程式利用: true
可輕鬆利用: Exploits are available
修補程式發佈日期: 2019/3/22
弱點發布日期: 2019/3/22
可惡意利用
Metasploit (Grandstream GXV31XX settimezone Unauthenticated Command Execution)
參考資訊
CVE: CVE-2019-10655, CVE-2019-10656, CVE-2019-10657, CVE-2019-10658, CVE-2019-10659, CVE-2019-10660, CVE-2019-10661, CVE-2019-10662, CVE-2019-10663