CVE-2019-18396
Publiée le 2019-10-31 · Dernière modification le 2026-06-17
Les routeurs Technicolor TD5130v2 utilisant un micrologiciel tiers spécifique d'Oi sont affectés par une faille d'injection de commandes dans l'outil ping de l'interface web. Un attaquant disposant d'identifiants d'administrateur et d'un accès réseau à l'interface web peut exécuter des commandes arbitraires du système d'exploitation sur l'appareil. Comme cela nécessite une authentification de haut niveau, il ne s'agit pas d'une porte ouverte pour n'importe quel utilisateur d'Internet, mais cela permet à un compte compromis de prendre le contrôle total du système.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
An issue was discovered in certain Oi third-party firmware that may be installed on Technicolor TD5130v2 devices. A Command Injection in the Ping module in the Web Interface in OI_Fw_V20 allows remote attackers to execute arbitrary OS commands in the pingAddr parameter to mnt_ping.cgi. NOTE: This may overlap CVE-2017–14127.