中兴通讯一款移动互联产品存在命令注入漏洞

初始发布日期：2023年8月25日

漏洞编号

CVE 编号：CVE-2023-25649       CNNVD编号：CNNVD-2023-04118918

CVSS:3.1 基础得分

6.8中危（AV:A/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H）

漏洞描述

中兴通讯一款移动互联产品存在命令注入漏洞。由对SET_DEVICE_LED接口参数输入验证不足,攻击者在经身份验证后可利用该漏洞执行任意命令。

影响和修复

致谢 

中兴通讯感谢安全研究人员Rafal Goryl(@voix44er)对我们产品的关注并与我们协同披露漏洞。

更新记录

2023年8月25日，初始发布。

版本升级方法

支持自动更新的设备会收到更新提示，用户可以按照提示升级。如未收到更新提示，请咨询相关服务提供商获取更新信息。

全球客户技术支持

http://support.zte.com.cn/support/web/Contact.aspx#

中兴通讯PSIRT 

https://www.zte.com.cn/china/cybersecurity/ztepsirt.html