CVE-2014-125124 in Pandora FMS
Résumé
par VulDB • 01/06/2026
Une vulnérabilité d'exécution de commandes à distance non authentifiée existe dans les versions de Pandora FMS jusqu'à la 5.0RC1 incluse via l'interface web Anyterm, qui écoute sur le port TCP 8023. Le point de terminaison anyterm-module accepte des données utilisateur non validées via le paramètre p et les injecte directement dans une commande shell, permettant l'exécution de commandes arbitraires en tant qu'utilisateur pandora. Dans certaines versions (notamment 4.1 et 5.0RC1), l'utilisateur pandora peut élever ses privilèges jusqu'à root sans mot de passe en utilisant une chaîne impliquant le compte utilisateur artica. Ce compte est généralement installé sans mot de passe et configuré pour exécuter sudo sans authentification. Par conséquent, une compromission totale du système est possible sans aucune information d'identification.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.