CVE-2026-38707

Command injection w funkcji IPSec VPN urządzeń InHand Networks — dostęp ROOT

CVSS 9.8v3.1pub. 2026-05-28upd. 2026-05-29

W funkcji IPSec VPN firmware urządzeń InHand Networks (IR302, IR305, IR315, IR615) odkryto podatność typu command injection umożliwiającą zdalne wykonanie poleceń. Atakujący bez żadnego uwierzytelnienia może uzyskać uprawnienia ROOT na docelowym urządzeniu.

▸ Pokaż oryginał (EN)

A command injection vulnerability exists in the IPSec VPN feature of InHand Networks IR302 firmware V3.5.108, IR305 firmware V1.0.118, IR315 firmware V1.0.118, IR615 firmware V1.0.118, and earlier versions. Attackers can exploit this vulnerability to obtain ROOT privileges on remote target devices.

🤖 Analiza AI

Jak działa

Podatność (CWE-77) polega na nieprawidłowej neutralizacji znaków specjalnych w danych wejściowych przekazywanych do funkcji IPSec VPN, co pozwala na wstrzyknięcie dowolnych poleceń systemowych. Atak jest możliwy zdalnie, bez uwierzytelnienia i bez interakcji ze strony użytkownika, co klasyfikuje go jako szczególnie niebezpieczny (wektor CVSS: AV:N/AC:L/PR:N/UI:N). Wykonane polecenia uruchamiane są w kontekście systemowym z najwyższymi uprawnieniami ROOT.

Skutki

Atakujący może przejąć pełną kontrolę nad urządzeniem, odczytać i modyfikować konfigurację, przechwycić ruch sieciowy, zakłócić działanie tuneli VPN oraz wykorzystać urządzenie jako punkt wejścia do sieci wewnętrznej.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami (https://www.inhand.com/wp-content/uploads/InHand-PSA-2026-05_EN.pdf). Do czasu aktualizacji firmware zaleca się ograniczenie dostępu do interfejsu zarządzania urządzeniami wyłącznie do zaufanych adresów IP oraz monitorowanie anomalii w ruchu sieciowym.

Kogo dotyczy

InHand Networks IR302 firmware V3.5.108 i wcześniejsze, IR305 firmware V1.0.118 i wcześniejsze, IR315 firmware V1.0.118 i wcześniejsze, IR615 firmware V1.0.118 i wcześniejsze.