CVE-2024-55020

Command injection z uprawnieniami root w Weintek cMT-3072XH2 easyweb

CVSS 9.8v3.1pub. 2026-03-03upd. 2026-03-04

Podatność typu command injection w funkcji aktywacji DHCP urządzenia Weintek cMT-3072XH2 umożliwia zdalnemu atakującemu wykonanie dowolnych poleceń systemowych z uprawnieniami root. Brak wymagań dotyczących uwierzytelnienia i interakcji użytkownika czyni tę podatność szczególnie krytyczną.

▸ Pokaż oryginał (EN)

A command injection vulnerability in the DHCP activation feature of Weintek cMT-3072XH2 easyweb Web Version v2.1.53, OS v20231011 allows attackers to execute arbitrary commands with root privileges.

🤖 Analiza AI

Jak działa

Podatność wynika z niewystarczającej walidacji danych wejściowych (CWE-20) w funkcji aktywacji DHCP interfejsu easyweb. Atakujący może przesłać specjalnie spreparowane dane wejściowe zawierające złośliwe polecenia systemowe, które są następnie przekazywane bezpośrednio do interpretera poleceń systemu operacyjnego (CWE-78). Ponieważ podatny komponent działa z uprawnieniami root, wstrzyknięte polecenia są wykonywane z najwyższym poziomem uprawnień w systemie. Atak jest możliwy zdalnie przez sieć bez konieczności uwierzytelnienia.

Skutki

Atakujący uzyskuje pełną kontrolę nad urządzeniem z uprawnieniami root, co umożliwia odczyt i modyfikację danych, instalację złośliwego oprogramowania, zakłócenie pracy urządzenia HMI oraz potencjalny lateral movement w sieci przemysłowej (OT/ICS).

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Do czasu zastosowania aktualizacji zaleca się odizolowanie urządzenia od sieci publicznych, ograniczenie dostępu do interfejsu easyweb wyłącznie do zaufanych hostów za pomocą firewalla oraz monitorowanie ruchu sieciowego kierowanego do urządzenia.

Kogo dotyczy

Weintek cMT-3072XH2 z oprogramowaniem easyweb Web Version v2.1.53 oraz OS v20231011

Uwagi

Publiczny proof-of-concept (PoC) jest dostępny pod adresem wskazanym w referencjach (gist.github.com/AenganZ), co zwiększa ryzyko wykorzystania podatności mimo braku wpisu w CISA KEV.