CVE-2024-23922mediumCWE-345

CVE-2024-23922: falha de média gravidade em Sony XAV-AX5500

Sony XAV-AX5500 Insufficient Firmware Update Validation Remote Code Execution Vulnerability

Publicada em

Seguir esta CVE+ Monitorar XAV-AX5500

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

33Vexday Risk Score

Sem sinal de exploração. Ela tem prova de conceito pública.

ssvc Attendcvss 6.8epss 1.8%
da publicação à arma197 dias
Publicada no NVD23 de set.
1ª PoC+197d
Em resumo

O head unit automotivo Sony XAV-AX5500 não valida corretamente as atualizações de firmware, permitindo que um atacante com acesso físico instale código malicioso e controle o dispositivo sem precisar de senha.

Detalhe técnico

A vulnerabilidade reside no mecanismo de atualização de firmware devido à falta de validação adequada dos pacotes de atualização (CWE-345). Um atacante com acesso físico pode explorar isso para executar código arbitrário com privilégios do dispositivo; nenhuma autenticação é necessária, tornando-a explorável durante o processo de atualização.

Resumo gerado e traduzido por IA a partir da descrição oficial.
Sony XAV-AX5500 Insufficient Firmware Update Validation Remote Code Execution Vulnerability. This vulnerability allows physically present attackers to execute arbitrary code on affected installations of Sony XAV-AX5500 devices. Authentication is not required to exploit this vulnerability. The specific flaw exists within the handling of software updates. The issue results from the lack of proper validation of software update packages. An attacker can leverage this vulnerability to execute code in the context of the device. Was ZDI-CAN-22939
CVSS:3.1/AV:P/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Produtos afetados
Sony · XAV-AX5500
⚠ Recursos públicos, para você avaliar a exposição de sistemas que controla ou está autorizado a testar. Teste apenas com autorização.
CVEs relacionadas — Sony XAV-AX5500

No mesmo produto, das mais perigosas para as menos.

CVE-2024-23934HIGHSony XAV-AX5500 WMV/ASF Parsing Stack-based Buffer Overflow Remote Code Execution VulnerabilityEPSS 1.0%CVE-2024-23972MEDIUMSony XAV-AX5500 USB Configuration Descriptor Buffer Overflow Remote Code Execution VulnerabilityEPSS 0.9%CVE-2024-23933MEDIUMSony XAV-AX5500 CarPlay TLV Stack-based Buffer Overflow Remote Code Execution VulnerabilityEPSS 0.8%