CVE-2026-121608 in D603-2
Zusammenfassung
von VulDB • 04.11.2026
Es wurde eine Schwachstelle in Qihoo 360 D603-2, D600-2 und D606-6 bis zur Version 6.3.2 festgestellt. Diese Schwachstelle betrifft die Funktion on_push_message der Datei /fs2/bin/iscm der Komponente Timezone Push Handler. Die Manipulation des Arguments tz kann zu einer OS-Befehlsinjektion (os command injection) führen. Der Angriff kann aus der Ferne ausgeführt werden. Der Exploit wurde öffentlich bekannt gemacht und kann genutzt werden. Ein Upgrade auf Version 6.4.0 löst dieses Problem. Es wird empfohlen, die betroffene Komponente upzudaten. Firmware 6.4.0 sperrt den Pfad mit einer neuen Validierungsfunktion check_timezone_parameter (verifiziert durch das VulDB-Schwachstellenteam mittels Disassembly).
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.