CVE-2024-8956
Kritik CISA KEV: Aktif İstismarTeknik Veri (Otomatik)
- CVSS Skoru
- 9.1
- EPSS
- 61.3%
- CWE
- CWE-306
- KEV Durumu
- Evet
Yayım tarihi: 17 Eylül 2024 · CISA KEV son iyileştirme tarihi: 25 Kasım 2024
Etkilenen: ptzoptics pt30x-sdi_firmware
PTZOptics PT30X-SDI/NDI-xx'nin 6.3.40 sürümünden önceki firmware'ları yetersiz kimlik doğrulama sorunuyla karşı karşıyadır. Kamera, HTTP Kimlik Doğrulama başlığı olmadan gönderilen isteklerde /cgi-bin/param.cgi'ye kimlik doğrulamasını düzgün bir şekilde zorlamamaktadır. Sonuç olarak, uzaktan ve kimlik doğrulaması yapılmamış bir saldırgan, kullanıcı adları, parola karmaları ve yapılandırma ayrıntıları gibi hassas verileri sızdırabilir. Ayrıca saldırgan, bireysel yapılandırma değerlerini güncelleyebilir veya tüm dosyayı geçersiz kılabilir.
Orijinal açıklama (İngilizce)
PTZOptics PT30X-SDI/NDI-xx before firmware 6.3.40 is vulnerable to an insufficient authentication issue. The camera does not properly enforce authentication to /cgi-bin/param.cgi when requests are sent without an HTTP Authorization header. The result is a remote and unauthenticated attacker can leak sensitive data such as usernames, password hashes, and configurations details. Additionally, the attacker can update individual configuration values or overwrite the whole file.
Referanslar
- https://ptzoptics.com/firmware-changelog/
- https://vulncheck.com/advisories/ptzoptics-insufficient-auth
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2024-8956
- https://www.greynoise.io/blog/greynoise-intelligence-discovers-zero-day-vulnerabilities-in-live-streaming-cameras-with-the-help-of-ai
- https://www.labs.greynoise.io/grimoire/2024-10-31-sift-0-day-rce/
Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.