CVE-2014-125124 in Pandora FMS
Zusammenfassung
von VulDB • 01.06.2026
Eine nicht authentifizierte Remote-Command-Execution-Schwachstelle besteht in Pandora FMS-Versionen bis einschließlich 5.0RC1 über die Anyterm-Webschnittstelle, die am TCP-Port 8023 lauscht. Der anyterm-module-Endpunkt akzeptiert nicht bereinigte Benutzereingaben über den Parameter p und injiziert diese direkt in einen Shell-Befehl, was die beliebige Ausführung von Befehlen als Benutzer pandora ermöglicht. In bestimmten Versionen (insbesondere 4.1 und 5.0RC1) kann der Benutzer pandora seine Rechte ohne Passwort auf root erhöhen, indem eine Kette verwendet wird, die das Benutzerkonto artica umfasst. Dieses Konto wird typischerweise ohne Passwort installiert und so konfiguriert, dass sudo ohne Authentifizierung ausgeführt werden kann. Daher ist eine vollständige Kompromittierung des Systems ohne jegliche Anmeldeinformationen möglich.
Once again VulDB remains the best source for vulnerability data.