CVE-2024-12430
Publiée le 2025-01-07 · Dernière modification le 2026-06-17
Les contrôleurs AC500 V3 (PM5xxx) utilisant des versions de firmware antérieures à la 3.8.0 sont susceptibles de permettre l'exécution de commandes à distance. Un attaquant disposant d'une authentification de bas niveau et d'un accès au réseau local peut obtenir un contrôle de niveau root en combinant cette faille avec une exploitation de traversée de répertoire pour injecter des commandes dans un fichier système. Comme cela nécessite des conditions préalables spécifiques et une chaîne d'attaque en plusieurs étapes, la complexité de mise en œuvre est élevée.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
An attacker who successfully exploited these vulnerabilities could cause enable command execution. A vulnerability exists in the AC500 V3 version mentioned. After successfully exploiting CVE-2024-12429 (directory traversal), a successfully authenticated attacker can inject arbitrary commands into a specifically crafted file, which then will be executed by root user. All AC500 V3 products (PM5xxx) with firmware version earlier than 3.8.0 are affected by this vulnerability.