🇰🇷 한글 설명
PLANET GS-4210-16P2S V3의 3.441b2606262 버전 이전 펌웨어에서 인증된 사용자가 OS 명령을 주입할 수 있는 취약점이 발견되었습니다. /cgi-bin/dispatcher.cgi 경로의 web_smtp_test_post 핸들러가 사용자로부터 입력받은 SMTP 서버 값을 적절한 검증 없이 셸 명령에 직접 포함하기 때문에 발생합니다. 관리자 권한을 가진 공격자는 조작된 SMTP 서버 값을 전송하여 장치에서 임의의 운영체제 명령을 실행할 수 있습니다.
💡 쉬운 설명
관리자 계정으로 로그인한 공격자가 설정 메뉴를 통해 장치에 악성 명령을 내릴 수 있는 보안 약점입니다. 이로 인해 해커가 네트워크 장비를 마음대로 조종할 위험이 있습니다.
🇺🇸 원문 (English)
PLANET GS-4210-16P2S V3 firmware before 3.441b260626 contains an authenticated OS command injection vulnerability in /cgi-bin/dispatcher.cgi. The web_smtp_test_post handler incorporates a caller-supplied SMTP server value directly into a shell command without sanitization. A remote attacker with administrator web credentials can send a crafted SMTP server value to execute arbitrary operating-system commands on the device.
📍 영향받는 시스템
PLANET GS-4210-16P2S V3 firmware version 3.441b260626 미만
⚔️ 공격 벡터
관리자 권한을 획득한 공격자가 웹 인터페이스의 SMTP 설정 값을 조작하여 명령 주입
🛡️ 대응 방법
취약점이 해결된 최신 펌웨어 버전(3.441b260626 이상)으로 업데이트
🔧 검증 코드
장치의 현재 펌웨어 버전을 확인하여 3.441b260626보다 낮은지 확인하십시오.
curl -s http://<DEVICE_IP>/cgi-bin/dispatcher.cgi | grep -i 'version' || echo 'Manual check required'