Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Son 7 gün
  • CWE-77
  • CWE-78

CVE-2026-121608

Qihoo 360 D603-2/D600-2/D606-6 zaman dilimi itme bileşeninde işletim sistemi komut enjeksiyonu

Qihoo 360 D600-2Qihoo 360 D603-2Qihoo 360 D606-6

Yüksek 7,3 CVSS 3.1
Yayımlandı
Güncellendi
4 Kas 2026
Açık yaşı
0 gün
Kaydı açan
VulDB

Yönetici özeti

Bu açık, ağ üzerinden erişilebilen bazı Qihoo 360 ağ cihazlarının uzaktan ele geçirilmesine imkân verebilir ve saldırı için hazır bir kod kamuya açıktır. Cihazın kontrolünün kaybedilmesi iş ağının güvenliğini ve bağlı sistemleri tehlikeye atabileceğinden öncelikli olarak ele alınmalıdır.

ÖzetTürkçe

Qihoo 360 D603-2, D600-2 ve D606-6 cihazlarının 6.3.2 sürümüne kadar olan firmware'lerinde, Zaman Dilimi Push İşleyicisi bileşeninin /fs2/bin/iscm dosyasındaki on_push_message fonksiyonu zararlı girdiye karşı yeterince korunmuyor. Fonksiyona gönderilen tz argümanı manipüle edilerek işletim sistemi komutu enjekte edilebiliyor. Saldırı uzaktan gerçekleştirilebilir ve istismar kodu kamuya açıklanmış durumda.

Saldırgan ne yapabilir?

Saldırgan, etkilenen cihaz üzerinde yetkisiz komutlar çalıştırabilir; bu da cihazın ele geçirilmesine, ağ trafiğinin izlenmesine veya ağın diğer kısımlarına sıçramaya yol açabilir.

Kaynaktaki açıklama (İngilizce)

A vulnerability was determined in Qihoo 360 D603-2, D600-2 and D606-6 up to 6.3.2. This vulnerability affects the function on_push_message of the file /fs2/bin/iscm of the component Timezone Push Handler. Executing a manipulation of the argument tz can lead to os command injection. The attack may be launched remotely. The exploit has been publicly disclosed and may be utilized. Upgrading to version 6.4.0 is able to resolve this issue. Upgrading the affected component is advised. Firmware 6.4.0 gates the path with a new check_timezone_parameter validation (verified by VulDB vulnerability analysis team via disassembly).

Ne yapmalı?

  1. Etkilenen cihazları 6.4.0 veya daha yeni firmware sürümüne yükseltin; bu sürüm tz parametresini doğrulayan yeni bir kontrol içermektedir. Genel öneri
  2. Yükseltme yapılana kadar cihazın yönetim arayüzüne ve zaman dilimi ile ilgili servislerine yalnızca güvenilir iç ağ adreslerinden erişime izin verin veya bu erişimi güvenlik duvarıyla kısıtlayın. Genel öneri
  3. Yükseltme sonrasında cihazın firmware sürümünü kontrol ederek 6.4.0 veya üzeri olduğunu doğrulayın. Genel öneri

Ek önlemler

  • Cihazları internete doğrudan açmayın ve yönetim yüzeylerini ağ segmentasyonu ile izole edin. Genel öneri
  • Cihazlardan beklenmeyen süreç çalıştırma, olağandışı giden bağlantılar veya yapılandırma değişiklikleri için günlük ve ağ trafiğini izleyin. Genel öneri
  • Kullanılmayan ağ cihazlarını envanterden çıkarın ve yalnızca desteklenen firmware sürümlerini çalıştırdığınızdan emin olun. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler3 yazılım

YazılımEtkilenenDüzeltildiği sürüm
Qihoo 360 D600-2 6.3.0 –
6.3.1 –
6.3.2 –
6.4.0 Etkilenmiyor –
Qihoo 360 D603-2 6.3.0 –
6.3.1 –
6.3.2 –
6.4.0 Etkilenmiyor –
Qihoo 360 D606-6 6.3.0 –
6.3.1 –
6.3.2 –
6.4.0 Etkilenmiyor –

Kaynaklar7 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.