CVE-2024-8957highbajo ataqueCWE-78

CVE-2024-8957: fallo de gravedad alta en PTZOptics PT30X-SDI

PTZOptics NDI and SDI Cameras Command Injection via NTP Address Configuration

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear PT30X-NDI+ Monitorear PT30X-SDI

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

93Vexday Risk Score

Prioriza la corrección. Ella está bajo explotación confirmada por CISA y tiene prueba de concepto pública.

ssvc Actcvss 7.2epss 80%
de la publicación al arma
Publicada en NVD17 sept
CISA KEV+48d
Acción exigida por CISAplazo federal: 2024-11-25

Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.

En resumen

Las cámaras PTZOptics no validan correctamente la dirección del servidor NTP configurado, permitiendo que los atacantes inyecten comandos maliciosos en este campo. Cuando se inicia el servicio de sincronización de hora, estos comandos se ejecutan con privilegios del sistema, dando control total del dispositivo.

Detalle técnico

Vulnerabilidad de inyección de comandos OS en cámaras PTZOptics PT30X-SDI/NDI-xx (firmware < 6.3.40) causada por validación insuficiente del parámetro ntp_addr. La falla se activa cuando inicia el servicio ntp_client, permitiendo ejecución de comandos arbitrarios. Cuando se encadena con CVE-2024-8956, atacantes remotos no autenticados pueden comprometer completamente el sistema.

Resumen generado y traducido por IA a partir de la descripción oficial.

El análisis completo de esta CVE está disponible en portugués →

PTZOptics PT30X-SDI/NDI-xx before firmware 6.3.40 is vulnerable to an OS command injection issue. The camera does not sufficiently validate the ntp_addr configuration value which may lead to arbitrary command execution when ntp_client is started. When chained with CVE-2024-8956, a remote and unauthenticated attacker can execute arbitrary OS commands on affected devices.
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H
Productos afectados
PTZOptics · PT30X-NDIPTZOptics · PT30X-SDI
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.
CVEs relacionadas — PTZOptics PT30X-SDI

En el mismo producto, de las más peligrosas a las menos.

CVE-2024-8956CRITICALPTZOptics NDI and SDI Cameras /cgi-bin/param.cgi Insufficient AuthenticationEPSS 58.8%KEV