Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Aktif istismar
  • CWE-79

CVE-2019-3929

Crestron AirMedia ve benzeri kablosuz sunum cihazlarında kimlik doğrulamasız komut enjeksiyonu

Crestron AirMedia, Barco WePresent, Extron ShareLink, Teq AV IT WIPS710, SHARP PN-L703WA, Optoma WPS-Pro, Blackbox HD WPS, InFocus LiteShow3, and InFocus LiteShow4.

Kritik 9,8 CVSS 3.1
Yayımlandı
Güncellendi
22 Eki 2025
Açık yaşı
2737 gün
Kaydı açan
tenable
Saldırılarda kullanılıyor CISA, bu açığın gerçek saldırılarda kullanıldığını doğruladı ve 15 Nis 2022 tarihinde KEV listesine ekledi. ABD kamu kurumlarına verilen son yama tarihi: 6 May 2022.

Yönetici özeti

Toplantı odalarındaki kablosuz sunum cihazları, internetten veya iç ağdan kimlik bilgisi gerekmeden tamamen ele geçirilebilir. Açık aktif olarak istismar edildiği için risk yüksektir ve güncellemelerin gecikmeden uygulanması gerekir.

ÖzetTürkçe

Crestron AM-100 ve AM-101, Barco wePresent, Extron ShareLink, Teq AV IT WIPS710, SHARP PN-L703WA, Optoma WPS-Pro, Blackbox HD WPS ile InFocus LiteShow3 ve LiteShow4 cihazlarının belirtilen yazılım sürümlerinde file_transfer.cgi HTTP uç noktası üzerinden işletim sistemi komutu enjeksiyonu açığı bulunmaktadır. Kimlik doğrulaması gerektirmeyen bu açık ağ üzerinden istismar edilebilir. Açık, CISA'nın bilinen istismar edilen açıklar (KEV) kataloğunda yer almaktadır ve istismar kodu kamuya açık kaynaklarda bulunmaktadır.

Saldırgan ne yapabilir?

Uzaktaki kimliği doğrulanmamış bir saldırgan, cihaz üzerinde root yetkisiyle işletim sistemi komutları çalıştırabilir. Bu durum cihazın tamamen ele geçirilmesine ve iç ağda bir sıçrama noktası olarak kullanılmasına yol açabilir.

Kaynaktaki açıklama (İngilizce)

The Crestron AM-100 firmware 1.6.0.2, Crestron AM-101 firmware 2.7.0.1, Barco wePresent WiPG-1000P firmware 2.3.0.10, Barco wePresent WiPG-1600W before firmware 2.4.1.19, Extron ShareLink 200/250 firmware 2.0.3.4, Teq AV IT WIPS710 firmware 1.1.0.7, SHARP PN-L703WA firmware 1.4.2.3, Optoma WPS-Pro firmware 1.0.0.5, Blackbox HD WPS firmware 1.0.0.5, InFocus LiteShow3 firmware 1.0.16, and InFocus LiteShow4 2.0.0.7 are vulnerable to command injection via the file_transfer.cgi HTTP endpoint. A remote, unauthenticated attacker can use this vulnerability to execute operating system commands as root.

CISA'nın önerdiği eylem (İngilizce)

Apply updates per vendor instructions.

Ne yapmalı?

  1. Etkilenen cihazların üreticilerini belirleyip her biri için üreticinin yayımladığı güncel bellenimi (firmware) uygulayın; örneğin Barco wePresent WiPG-1600W için 2.4.1.19 ve sonrası sürümler. Genel öneri
  2. CISA KEV gereği: Güncellemeleri üretici talimatlarına göre uygulayın. CISA
  3. Üretici güncellemesi mevcut olmayan cihazlar için yama çıkana kadar cihazları ağdan izole edin veya kullanımdan kaldırın. Genel öneri
  4. Cihazların web yönetim arayüzüne erişimi güvenlik duvarı ile yalnızca gerekli yönetim ağlarına kısıtlayın ve internetten erişimi tamamen kapatın. Genel öneri

Ek önlemler

  • Kablosuz sunum ve konferans cihazlarını ayrı bir VLAN'a alarak kurumsal sunucu ve kullanıcı ağlarından ayırın. Genel öneri
  • Cihazlara yönelik file_transfer.cgi isteklerini ve beklenmedik giden bağlantıları ağ günlüklerinde izleyin. Genel öneri
  • Ağınızdaki bu tür IoT ve AV cihazlarının envanterini çıkarıp bellenim sürümlerini düzenli kontrol edin. Genel öneri
  • Şüpheli etkinlik tespit edilen cihazları sıfırlayıp güncel bellenimle yeniden kurun. Genel öneri

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
Crestron AirMedia, Barco WePresent, Extron ShareLink, Teq AV IT WIPS710, SHARP PN-L703WA, Optoma WPS-Pro, Blackbox HD WPS, InFocus LiteShow3, and InFocus LiteShow4. Sürüm belirtilmemiş –

Kaynaklar6 kaynak

Kayıt geçmişi

  1. CISA KEV listesine eklendi (saldırılarda kullanılıyor)
  2. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.