CVE-2007-3010criticalbajo ataqueCWE-77

CVE-2007-3010

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear OmniPCX Enterprise

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

100Vexday Risk Score

Corrige ahora. Ella está bajo explotación confirmada por CISA y tiene exploit funcional público.

ssvc Actcvss 9.8epss 97%
de la publicación al armael mismo día
Publicada en NVD18 sept
1ª PoC17 sept
metasploit9 sept
CISA KEV+5323d
Acción exigida por CISAplazo federal: 2022-05-06

Apply updates per vendor instructions.

En resumen

Una herramienta para gestionar sistemas telefónicos Alcatel tiene una falla que permite a los atacantes ejecutar cualquier comando en el servidor enviando solicitudes especialmente diseñadas. Esto es crítico porque los atacantes pueden obtener control total del sistema sin necesidad de permiso.

Detalle técnico

El masterCGI en la Unified Maintenance Tool de Alcatel OmniPCX Enterprise (versión R7.1 y anteriores) no sanitiza adecuadamente el parámetro user en acciones de ping, permitiendo inyección de comandos del sistema operativo mediante metacaracteres de shell. Atacantes remotos no autenticados pueden explotar esto para ejecutar comandos arbitrarios con privilegios del sistema. La vulnerabilidad proviene de la validación insuficiente de entrada (CWE-77) antes de pasar datos del usuario a operaciones de shell.

Resumen generado y traducido por IA a partir de la descripción oficial.

El análisis completo de esta CVE está disponible en portugués →

masterCGI in the Unified Maintenance Tool in Alcatel OmniPCX Enterprise Communication Server R7.1 and earlier allows remote attackers to execute arbitrary commands via shell metacharacters in the user parameter during a ping action.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Productos afectados
n/a · n/a
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.