VDB-174172 · CVE-2020-22000 · ZSL-2019-5560

HomeAutomation 3.3.2 Custom Command Plugin customcommand.plugin.php exec set_command_on/set_command_off эскалация привилегий

CVSS Meta Temp Score	Текущая цена эксплойта (≈)	Балл интереса CTI
5.2	$0-$5k	0.00

СводкаИнформация

Уязвимость была найдена в HomeAutomation 3.3.2 и классифицирована как критический. Неизвестная функция файла /system/systemplugins/customcommand/customcommand.plugin.php компонента Custom Command Plugin затронута. Осуществление манипуляции над аргументом set_command_on/set_command_off приводит к эскалация привилегий. Эта уязвимость однозначно идентифицируется как CVE-2020-22000. Более того, эксплойт доступен.

ПодробностиИнформация

Уязвимость была найдена в HomeAutomation 3.3.2 и классифицирована как критический. Неизвестная функция файла /system/systemplugins/customcommand/customcommand.plugin.php компонента Custom Command Plugin затронута. Осуществление манипуляции над аргументом set_command_on/set_command_off приводит к эскалация привилегий. Определение CWE для уязвимости следующее CWE-78. Информация о слабости была опубликована 28.04.2021 под номером ZSL-2019-5560. Уведомление опубликовано для скачивания на zeroscience.mk.

Эта уязвимость однозначно идентифицируется как CVE-2020-22000. Технические детали доступны. Уровень популярности этой уязвимости ниже среднего значения. Более того, эксплойт доступен. Эксплойт стал общедоступным и может быть использован. Сейчас цена на эксплойт приблизительно равна USD $0-$5k. Согласно проекту MITRE ATT&CK, техника атаки называется T1202.

Указано значение Доказательство концепции. Эксплойт опубликован для скачивания на exploit-db.com. Мы ожидаем, что 0-день стоил приблизительно $0-$5k.

ПродуктИнформация

Тип

Automation Software

Имя

HomeAutomation

Версия

3.3.2

CPE 2.3Информация

CPE 2.2Информация

CVSSv4Информация

VulDB Вектор: 🔍
VulDB Надёжность: 🔍

CVSSv3Информация

VulDB Meta Base Score: 5.5
VulDB Meta Temp Score: 5.2

VulDB Базовый балл: 5.5
VulDB Временная оценка: 5.2
VulDB Вектор: 🔍
VulDB Надёжность: 🔍

CVSSv2Информация

AV	AC	Au	C	I	A
💳	💳	💳	💳	💳	💳
💳	💳	💳	💳	💳	💳
💳	💳	💳	💳	💳	💳

Вектор	Сложность	Аутентификация	Конфиденциальность	Целостность	Доступность
Разблокировать	Разблокировать	Разблокировать	Разблокировать	Разблокировать	Разблокировать
Разблокировать	Разблокировать	Разблокировать	Разблокировать	Разблокировать	Разблокировать
Разблокировать	Разблокировать	Разблокировать	Разблокировать	Разблокировать	Разблокировать

VulDB Базовый балл: 🔍
VulDB Временная оценка: 🔍
VulDB Надёжность: 🔍

ЭксплуатацияИнформация

Класс: эскалация привилегий
CWE: CWE-78 / CWE-77 / CWE-74
CAPEC: 🔍
ATT&CK: 🔍

Физический: Нет
Локальный: Нет
Удалённый: Частично

Доступность: 🔍
Доступ: публичный
Статус: Доказательство концепции
Скачать: 🔍
Google Hack: 🔍

EPSS Score: 🔍
EPSS Percentile: 🔍

Прогноз цен: 🔍
Оценка текущей цены: 🔍

0-Day	Разблокировать	Разблокировать	Разблокировать	Разблокировать
Сегодня	Разблокировать	Разблокировать	Разблокировать	Разблокировать

Exploit-DB: 🔍