CVE-2019-14931
Publiée le 2019-10-28 · Dernière modification le 2026-06-17
Les appareils Mitsubishi Electric et INEA ME-RTU (versions 2.02, 3.0 ou antérieures) sont affectés par une faille dans leur fonctionnalité de test de connexion mobile. Un attaquant ayant un accès réseau à l'appareil peut exécuter des commandes arbitraires du système d'exploitation avec des privilèges complets en injectant des séparateurs de shell dans l'utilitaire ping. Cette exploitation est facile à réaliser car elle ne nécessite ni authentification ni interaction de l'utilisateur.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
An issue was discovered on Mitsubishi Electric Europe B.V. ME-RTU devices through 2.02 and INEA ME-RTU devices through 3.0. An unauthenticated remote OS Command Injection vulnerability allows an attacker to execute arbitrary commands on the RTU due to the passing of unsafe user supplied data to the RTU's system shell. Functionality in mobile.php provides users with the ability to ping sites or IP addresses via Mobile Connection Test. When the Mobile Connection Test is submitted, action.php is called to execute the test. An attacker can use a shell command separator (;) in the host variable to execute operating system commands upon submitting the test data.