CVE-2024-45763

OS Command Injection w Dell Enterprise SONiC OS 4.1.x i 4.2.x

CVSS 9.1v3.1pub. 2024-11-08upd. 2024-11-13

Dell Enterprise SONiC OS w wersjach 4.1.x oraz 4.2.x zawiera podatność typu OS Command Injection (CWE-78), umożliwiającą zdalne wykonanie poleceń systemowych. Luka otrzymała ocenę CVSS 9.1 (CRITICAL), co skłoniło producenta do zalecenia natychmiastowej aktualizacji.

▸ Pokaż oryginał (EN)

Dell Enterprise SONiC OS, version(s) 4.1.x, 4.2.x, contain(s) an Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection') vulnerability. A high privileged attacker with remote access could potentially exploit this vulnerability, leading to Command execution. This is a critical severity vulnerability so Dell recommends customers to upgrade at the earliest opportunity.

🤖 Analiza AI

Jak działa

Podatność wynika z nieprawidłowej neutralizacji znaków specjalnych przekazywanych do poleceń systemu operacyjnego. Zdalny atakujący posiadający wysokie uprawnienia może spreparować dane wejściowe zawierające złośliwe sekwencje, które system operacyjny zinterpretuje jako odrębne polecenia. Skuteczne wykorzystanie luki prowadzi do wykonania dowolnych poleceń w kontekście systemu operacyjnego urządzenia.

Skutki

Atakujący może wykonać dowolne polecenia na poziomie systemu operacyjnego urządzenia sieciowego, co może prowadzić do pełnego przejęcia kontroli nad urządzeniem, naruszenia poufności i integralności danych oraz zakłócenia jego dostępności.

Mitygacja

Należy jak najszybciej zaktualizować Dell Enterprise SONiC OS do wersji wolnej od podatności zgodnie z zaleceniami producenta opublikowanymi w biuletynie DSA-2024-449 dostępnym pod adresem: https://www.dell.com/support/kbdoc/en-us/000245655/dsa-2024-449-security-update-for-dell-enterprise-sonic-distribution-vulnerabilities