CVE-2026-28773

Command injection w narzędziu diagnostycznym Ping urządzenia IDC SFX2100

CVSS 9.3v4.0pub. 2026-03-04upd. 2026-03-09

Podatność typu OS command injection w interfejsie zarządzania webowego urządzeń International Datacasting Corporation SFX Series SuperFlex Satellite Receiver pozwala uwierzytelnionemu atakującemu na wykonanie dowolnych poleceń systemowych z uprawnieniami root. Wysoki wynik CVSS 9.3 odzwierciedla krytyczny wpływ na poufność i integralność systemu oraz systemów powiązanych.

▸ Pokaż oryginał (EN)

The web-based Ping diagnostic utility (/IDC_Ping/main.cgi) in International Datacasting Corporation (IDC) SFX Series SuperFlex Satellite Receiver Web Management Interface version 101 is vulnerable to OS Command Injection. The application insecurely parses the `IPaddr` parameter. An authenticated attacker can bypass server-side semicolon exclusion checks by using alternate shell metacharacters (such as the pipe `|` operator) to append and execute arbitrary shell commands with root privileges.

🤖 Analiza AI

Jak działa

Podatność znajduje się w skrypcie CGI narzędzia diagnostycznego Ping dostępnym pod ścieżką /IDC_Ping/main.cgi. Aplikacja nieprawidłowo przetwarza parametr `IPaddr` — po stronie serwera zaimplementowano wprawdzie filtrowanie średnika (`;`), jednak zabezpieczenie to można ominąć przy użyciu alternatywnych metaznaków powłoki, takich jak operator pipe (`|`). Atakujący, po uwierzytelnieniu się w interfejsie webowym, może dołączyć i wykonać dowolne polecenia systemowe, które zostaną uruchomione z uprawnieniami root.

Skutki

Atakujący może przejąć pełną kontrolę nad urządzeniem poprzez wykonanie dowolnych poleceń z uprawnieniami root, co umożliwia m.in. modyfikację konfiguracji, instalację złośliwego oprogramowania oraz dalszy ruch lateralny w sieci (lateral movement).

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Dodatkowo zaleca się ograniczenie dostępu do interfejsu webowego zarządzania wyłącznie do zaufanych sieci lub adresów IP oraz stosowanie uwierzytelniania wieloskładnikowego tam, gdzie jest to możliwe.

Kogo dotyczy

International Datacasting Corporation (IDC) SFX Series SuperFlex Satellite Receiver, firmware wersja 101 (produkt: Datacast SFX2100 / SFX2100 Firmware)

Uwagi

Podatność opisana i opublikowana przez badacza na stronie abdulmhsblog.com. Obejście ochrony polega na zastąpieniu filtrowanego średnika operatorem pipe, co wskazuje na niepełną walidację danych wejściowych po stronie serwera.

CVSS Vector

CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:N/SC:H/SI:H/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X