- Aktif istismar
- Yama var
- CWE-78
CVE-2024-8957
PTZOptics NDI ve SDI Kameralarında NTP Adresi Yapılandırması Üzerinden Komut Enjeksiyonu
- Yayımlandı
- Güncellendi
- 27 Ara 2025
- Açık yaşı
- 770 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
PTZOptics PT30X-SDI/NDI-xx, 6.3.40 sürümünden önceki yazılım sürümlerinde işletim sistemi komut enjeksiyonu sorunundan etkilenmektedir. Kamera, ntp_addr yapılandırma değerini yeterince doğrulamamakta; bu da ntp_client başlatıldığında keyfi komut çalıştırılmasına yol açabilmektedir. CVE-2024-8956 ile zincirlendiğinde, uzaktan ve kimlik doğrulaması yapılmadan saldırgan etkilenen cihazlarda keyfi işletim sistemi komutları çalıştırabilir.
Kaynaktaki açıklama (İngilizce)
PTZOptics PT30X-SDI/NDI-xx before firmware 6.3.40 is vulnerable to an OS command injection issue. The camera does not sufficiently validate the ntp_addr configuration value which may lead to arbitrary command execution when ntp_client is started. When chained with CVE-2024-8956, a remote and unauthenticated attacker can execute arbitrary OS commands on affected devices.
CISA'nın önerdiği eylem (İngilizce)
Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler2 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| PTZOptics PT30X-NDI | < 6.3.40 | 6.3.40 |
| PTZOptics PT30X-SDI | < 6.3.40 | 6.3.40 |
Kaynaklar4 kaynak
- CVE.org kaydı
- NVD kaydı
- ptzoptics.com/firmware-changelog Üretici bülteni
- vulncheck.com/advisories/ptzoptics-command-injection Üçüncü taraf
Kayıt geçmişi
- CISA KEV listesine eklendi (saldırılarda kullanılıyor)
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.