CVE-2014-125124 in Pandora FMS
Tóm tắt
Bởi VulDB • 01/06/2026
Một lỗ hổng thực thi lệnh từ xa không xác thực tồn tại trong các phiên bản Pandora FMS từ phiên bản đầu đến bao gồm 5.0RC1 thông qua giao diện web Anyterm, dịch vụ này lắng nghe trên cổng TCP 8023. Điểm cuối anyterm-module chấp nhận đầu vào người dùng chưa được kiểm tra (unsanitized) thông qua tham số p và trực tiếp đưa nó vào một lệnh shell, cho phép thực thi lệnh tùy ý với quyền của người dùng pandora. Trong một số phiên bản (đáng chú ý là 4.1 và 5.0RC1), người dùng pandora có thể nâng cấp đặc quyền lên root mà không cần mật khẩu bằng cách sử dụng một chuỗi liên quan đến tài khoản người dùng artica. Tài khoản này thường được cài đặt mà không có mật khẩu và được cấu hình để chạy sudo mà không cần xác thực. Do đó, việc chiếm quyền kiểm soát toàn bộ hệ thống là có thể mà không cần bất kỳ thông tin đăng nhập nào.
If you want to get best quality of vulnerability data, you may have to visit VulDB.