CVE-2022-50796

RCE i path traversal w firmware upload SOUND4 IMPACT/FIRST/PULSE/Eco

CVSS 9.3v4.0pub. 2025-12-30upd. 2026-01-16

Urządzenia SOUND4 IMPACT/FIRST/PULSE/Eco w wersji 2.x i wcześniejszych zawierają krytyczną podatność umożliwiającą nieuwierzytelnionym atakującym zdalne wykonanie kodu (RCE) poprzez mechanizm przesyłania firmware. Podatność jest szczególnie groźna, ponieważ nie wymaga żadnej autoryzacji ani interakcji użytkownika.

▸ Pokaż oryginał (EN)

SOUND4 IMPACT/FIRST/PULSE/Eco <=2.x contains an unauthenticated remote code execution vulnerability in the firmware upload functionality with path traversal flaw. Attackers can exploit the upload.cgi script to write malicious files to the system with www-data permissions, enabling unauthorized access and code execution.

🤖 Analiza AI

Jak działa

Podatność wynika z połączenia błędu path traversal (CWE-22) z brakiem uwierzytelnienia w skrypcie upload.cgi odpowiedzialnym za wgrywanie firmware. Atakujący może wysłać specjalnie spreparowane żądanie do skryptu upload.cgi, które zawiera sekwencję path traversal pozwalającą zapisać złośliwe pliki w dowolnym miejscu systemu plików dostępnym dla procesu www-data. Zapisane w ten sposób pliki mogą zawierać wykonywalny kod, który następnie może zostać uruchomiony na urządzeniu, prowadząc do przejęcia kontroli nad systemem.

Skutki

Atakujący uzyskuje możliwość zapisu złośliwych plików na urządzeniu z uprawnieniami www-data oraz zdalnego wykonania dowolnego kodu bez jakiejkolwiek autoryzacji, co skutkuje nieuprawnionym dostępem do systemu i potencjalnym pełnym przejęciem urządzenia.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Jako środek tymczasowy zaleca się ograniczenie dostępu sieciowego do interfejsu administracyjnego urządzeń SOUND4 wyłącznie do zaufanych sieci lub hostów oraz odizolowanie tych urządzeń od publicznego internetu za pomocą firewall.

Kogo dotyczy

SOUND4 IMPACT, SOUND4 FIRST, SOUND4 PULSE, SOUND4 Pulse Eco, SOUND4 Big Voice2, SOUND4 Big Voice4 — w wersjach firmware 2.x i wcześniejszych

Uwagi

Podatność została opublikowana przez ZeroScience Lab (ZSL-2022-5741) i udokumentowana w serwisie Packet Storm Security oraz IBM X-Force. Pomimo daty publikacji CVE (2025-12-30) referencje wskazują na odkrycie i publiczne ujawnienie podatności w 2022 roku.

CVSS Vector

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X