CVE-2019-17102
Publiée le 2020-01-27 · Dernière modification le 2026-06-17
Les appareils Bitdefender BOX 2 utilisant des versions antérieures à la 2.1.47.36 sont vulnérables à une condition de concurrence (race condition) dans le processus de mise à jour de la partition de récupération. Un attaquant disposant d'un accès au réseau local peut exploiter cette faille pour exécuter des commandes système arbitraires avec des privilèges élevés, lui donnant ainsi le contrôle total de l'appareil. Bien que l'exploit soit puissant, il est difficile à réaliser car il nécessite un timing précis pour contourner les vérifications de signature du firmware.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
An exploitable command execution vulnerability exists in the recovery partition of Bitdefender BOX 2, version 2.0.1.91. The API method `/api/update_setup` does not perform firmware signature checks atomically, leading to an exploitable race condition (TOCTTOU) that allows arbitrary execution of system commands. This issue affects: Bitdefender Bitdefender BOX 2 versions prior to 2.1.47.36.