- Aktif istismar
- Yama var
- CWE-78
- CWE-94
CVE-2025-67038
Lantronix EDS5000, G520, X300, E210 ve E220 cihazlarında işletim sistemi komut enjeksiyonu
Lantronix E210 seriesLantronix E220 seriesLantronix EDS5000 series
- Yayımlandı
- Güncellendi
- 8 Eyl 2026
- Açık yaşı
- 231 gün
- Kaydı açan
- mitre
Yönetici özeti
Etkilenen Lantronix cihazları, internet veya iç ağ üzerinden giriş yapmadan tamamen ele geçirilebilir ve zafiyetin aktif olarak istismar edildiği bildirilmiştir. Ele geçirilen cihaz saldırganlar için ağınıza açılan bir kapı olabilir. Üretici güncellemelerinin gecikmeden uygulanması gerekir.
ÖzetTürkçe
Lantronix cihazlarının HTTP RPC modülü, kimlik doğrulama başarısız olduğunda günlük yazmak için bir kabuk komutu çalıştırır. Kullanıcı adı, hiçbir temizleme yapılmadan bu komuta doğrudan eklendiği için saldırgan kullanıcı adı parametresine keyfi işletim sistemi komutları yerleştirebilir. Açık, EDS5000 serisinde 2.1.0.0R3 ve öncesini, G520 ve X300 serilerinde 2.6.0.4R6 öncesini, E210 ve E220 serilerinde ise 3.21.0.0R1 öncesini etkiler. Zafiyet CISA'nın bilinen istismar edilen açıklar (KEV) listesine eklenmiştir.
Saldırgan ne yapabilir?
Kimlik doğrulaması olmadan ağ üzerinden saldıran biri, cihaz üzerinde root yetkisiyle keyfi komut çalıştırarak cihazın tam denetimini ele geçirebilir. Bu durum gizlilik, bütünlük ve erişilebilirlik açısından ciddi sonuçlar doğurur.
Kaynaktaki açıklama (İngilizce)
An issue was discovered in Lantronix EDS5000 2.1.0.0R3. The HTTP RPC module executes a shell command to write logs when user's authentication fails. The username is directly concatenated with the command without any sanitization. This allow attackers to inject arbitrary OS commands into the username parameter. Injected commands are executed with root privileges.
Üreticinin çözüm notu (İngilizce)
Latronix has released the following updates addressing this vulnerability. For more information, see the Latronix Vulnerability Library ( https://www.lantronix.com/technical-support/security-updates/vulnerability-disclosure-policy/vulnerability-library/?_gl=16c8bez_upMQ.._gaMzQwNjk5ODI5LjE3ODI5MTM3NTk._ga_M2G6RLT5L3*czE3ODI5MTM3NTgkbzEkZzAkdDE3ODI5MTM3NTgkajYwJGwwJGgw ).
EDS5000 series: Upgrade to version 2.2.0.0R1 or later. The patch can be found here:
https://ltrxdev.atlassian.net/wiki/spaces/LTRXTS/pages/2538438657/Latest+Firmware+for+the+EDS5000+series+EDS5008+EDS5016+EDS5032
G520 series: Upgrade to version 2.6.0.4R6 or later. The patch can be found here:
https://ltrxdev.atlassian.net/wiki/spaces/LTRXTS/pages/1889828865/Latest+firmware+for+the+G520+Series+G526+G526RP+G527+G528
X300 series: Upgrade to version 2.6.0.4R6 or later. The patch can be found here:
https://ltrxdev.atlassian.net/wiki/spaces/LTRXTS/pages/2135261185/Latest+firmware+for+the+X300+Series+X300+X303+X304
E210 series: Upgrade to version 3.21.0.0R1 or later. The patch can be found here:
https://ltrxdev.atlassian.net/wiki/spaces/LTRXTS/pages/1914404865/Latest+firmware+ePack+for+the+E210+Series+E213+E214+E215+E218+Cellular+Routers
E220 series: Upgrade to version 3.21.0.0R1 or later. The patch can be found here:
https://ltrxdev.atlassian.net/wiki/spaces/LTRXTS/pages/1914437633/Latest+firmware+ePack+for+the+E220+Series+E224+E225+E228+Cellular+Routers
For more information or technical assistance, contact Lantronix support (Support@lantronix.com).
mailto:Support@lantronix.com
CISA'nın önerdiği eylem (İngilizce)
Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.
Ne yapmalı?
- Cihazınızın serisine göre üretici tarafından yayımlanan güncellemeyi uygulayın: EDS5000 için 2.2.0.0R1 veya üzeri, G520 ve X300 için 2.6.0.4R6 veya üzeri, E210 ve E220 için 3.21.0.0R1 veya üzeri sürüme yükseltin. Üretici
- Üretici ayrıntıları Lantronix Vulnerability Library sayfasında ve her seri için yayımlanan en güncel yazılım sayfalarında verilmiştir; yazılımı yalnızca üreticinin resmi kaynaklarından edinin. Gerekirse Lantronix destek ekibiyle iletişime geçin. Üretici
- CISA gereklilikleri doğrultusunda üretici talimatlarına göre azaltım önlemlerini uygulayın, her cihazın internete açıklık durumunu değerlendirin ve CISA'nın BOD 26-04 yama yönergelerine uyun. Önlem uygulanamıyorsa ürünün kullanımını sonlandırın. CISA
- Yama uygulanana kadar cihazların web yönetim arayüzüne erişimi güvenilir ağlarla sınırlayın ve internetten erişimi kapatın. Genel öneri
Ek önlemler
- Cihazların yönetim arayüzünü internete açmayın; erişimi VPN veya güvenlik duvarı kurallarıyla yalnızca yetkili yönetim ağlarına izin verecek şekilde kısıtlayın. Genel öneri
- Başarısız oturum açma denemelerini ve olağan dışı kullanıcı adı değerlerini (özel karakterler içeren girişler) günlüklerde izleyin. Genel öneri
- İstismar şüphesi varsa cihazı ağdan ayırın, adli inceleme yapın ve yama sonrası kimlik bilgilerini değiştirin. Genel öneri
- Ağınızdaki tüm Lantronix cihazlarının envanterini çıkarın ve yazılım sürümlerini düzenli olarak kontrol edin. Genel öneri
Etkilenen sürümler5 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Lantronix E210 series | < 3.21.0.0R1 | 3.21.0.0R1 |
| 3.21.0.0R1 Etkilenmiyor | – | |
| Lantronix E220 series | < 3.21.0.0R1 | 3.21.0.0R1 |
| 3.21.0.0R1 Etkilenmiyor | – | |
| Lantronix EDS5000 series | ≤ 2.1.0.0R3 | – |
| 2.2.0.0R1 Etkilenmiyor | – | |
| Lantronix G520 series | < 2.6.0.4R6 | 2.6.0.4R6 |
| 2.6.0.4R6 Etkilenmiyor | – | |
| Lantronix X300 series | < 2.6.0.4R6 | 2.6.0.4R6 |
| 2.6.0.4R6 Etkilenmiyor | – |
Kaynaklar6 kaynak
Kayıt geçmişi
- CISA KEV listesine eklendi (saldırılarda kullanılıyor)
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.