CRITICAL🚩 CISA KEV⚡ EXPLOIT🇬🇧 English

CVE-2025-67038

Command injection w Lantronix EDS5000 – wykonanie poleceń jako root

CVSS 9.8v3.1pub. 2026-03-11upd. 2026-07-05

Podatność typu command injection w module HTTP RPC urządzeń Lantronix EDS5000 pozwala nieuwierzytelnionemu atakującemu na wstrzyknięcie dowolnych poleceń systemowych poprzez pole nazwy użytkownika podczas logowania. Wstrzyknięte polecenia są wykonywane z uprawnieniami root, co czyni tę lukę wyjątkowo niebezpieczną.

▸ Pokaż oryginał (EN)

An issue was discovered in Lantronix EDS5000 2.1.0.0R3. The HTTP RPC module executes a shell command to write logs when user's authantication fails. The username is directly concatenated with the command without any sanitization. This allow attackers to inject arbitrary OS commands into the username parameter. Injected commands are executed with root privileges.

🤖 Analiza AI

Jak działa

Moduł HTTP RPC urządzeń Lantronix EDS5000 wykonuje polecenie powłoki (shell command) w celu zapisania logów w przypadku nieudanego uwierzytelnienia użytkownika. Nazwa użytkownika podana przez klienta jest bezpośrednio dołączana do tego polecenia bez żadnej walidacji ani sanityzacji (CWE-94 – improper code injection). Atakujący może zatem skonstruować odpowiednio spreparowaną wartość pola username, która spowoduje wykonanie dowolnych poleceń systemowych. Cały proces odbywa się bez konieczności posiadania jakichkolwiek poświadczeń – podatność jest eksploitowalna przez sieć, bez uwierzytelnienia.

Skutki

Atakujący uzyskuje możliwość wykonania dowolnych poleceń systemu operacyjnego z uprawnieniami root, co oznacza pełne przejęcie kontroli nad urządzeniem, w tym możliwość odczytu i modyfikacji danych, instalacji złośliwego oprogramowania oraz zakłócenia działania usług.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Szczegółowe informacje zawiera poradnik ICS CISA ICSA-26-069-02 (https://www.cisa.gov/news-events/ics-advisories/icsa-26-069-02). Do czasu aktualizacji zaleca się ograniczenie dostępu sieciowego do interfejsu HTTP urządzeń wyłącznie do zaufanych hostów (np. przy użyciu firewall lub segmentacji sieci).

Kogo dotyczy

Lantronix EDS5032 Firmware, Lantronix EDS5032, Lantronix EDS5008 Firmware, Lantronix EDS5008, Lantronix EDS5016 Firmware – wersja oprogramowania 2.1.0.0R3 (seria EDS5000)

Uwagi

Podatność opisana w poradniku ICS CISA ICSA-26-069-02. Dotyczy urządzeń z kategorii OT/ICS (przemysłowe serwery portów szeregowych), które często są wdrażane w środowiskach infrastruktury krytycznej.

CVSS Vector

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Lantronix Eds5008
HW
Lantronix
wszystkie wersje
Lantronix Eds5008 Firmware
OS
Lantronix
2.1.0.0r3
Lantronix Eds5016
HW
Lantronix
wszystkie wersje
Lantronix Eds5016 Firmware
OS
Lantronix
2.1.0.0r3
Lantronix Eds5032
HW
Lantronix
wszystkie wersje
Lantronix Eds5032 Firmware
OS
Lantronix
2.1.0.0r3

CISA KEV — szczegółyi

Dostawcai: Lantronix
Produkti: EDS5000
Data dodania do KEVi: 23 czerwca 2026
Termin remediation (USA)i: 26 czerwca 2026(po terminie)

🇺🇸CISA KEV (oryginał)↗

Wymagana akcja (CISA)i

Zastosuj mitygacje zgodnie z instrukcjami producenta, zapewniając zgodność ze wskazówkami CISA BOD 26-04 Prioritizing Security Updates Based on Risk (patrz URL w Notes) i CISA "Forensics Triage Requirements" (patrz URL w Notes). Postępuj zgodnie z obowiązującymi wytycznymi BOD 26-04 dla usług cloud lub zaprzestań korzystania z produktu, jeśli mitygacje są niedostępne. Interesariusze są odpowiedzialni za ocenę ekspozycji internetowej każdego zasobu i zapewnienie zgodności z wytycznymi patching BOD 26-04.

tłumaczenie AI

▸ Pokaż oryginał (EN)

Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.

Opis CISAi

Urządzenie Lantronix EDS5000 zawiera lukę podatności na code injection, która może pozwolić atakującym na wstrzyknięcie dowolnych poleceń OS do parametru username. Wstrzyknięte polecenia są wykonywane z uprawnieniami root.

tłumaczenie AI

▸ Pokaż oryginał (EN)

Lantronix EDS5000 contains a code injection vulnerability that could allow attackers to inject arbitrary OS commands into the username parameter. Injected commands are executed with root privileges.

🔴