CVE-2025-67038: fallo crítico en Lantronix E210 series
Lantronix EDS5000, G520, and X300 OS Command Injection
Publicada el · Actualizada el
Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.
Prioriza la corrección. Ella está bajo explotación confirmada por CISA.
Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.
El dispositivo Lantronix EDS5000 permite que atacantes ejecuten comandos arbitrarios como root al inyectar código malicioso en el campo de nombre de usuario durante intentos de inicio de sesión. Un atacante puede obtener control total del dispositivo sin necesidad de credenciales válidas.
CWE-94 (Control Inadecuado de la Generación de Código) mediante inyección de comandos OS en el módulo RPC HTTP durante la escritura de registros. El parámetro username se concatena sin sanitización en un comando shell ejecutado tras fallos de autenticación, permitiendo ejecución remota de código no autenticada con privilegios root. No se requieren condiciones especiales más allá del acceso a la red en la interfaz HTTP.
El análisis completo de esta CVE está disponible en portugués →
En el mismo producto, de las más peligrosas a las menos.