CVE-2026-121607 Inyección de comandos del sistema en Qihoo 360 D603-2/D600-2/D606-6/D706, función testspeed_command
La manipulación del argumento host en la función testspeed_command del archivo /fs2/bin/iscm permite inyección de comandos del sistema. El ataque puede iniciarse de forma remota y el exploit se hizo público; el fabricante fue contactado pero no respondió.
CVSS 3.1
- CVSS 4.010.0 · crítica
- Probabilidad de explotación · EPSS del 09/112,0 % · percentil 80
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
Qihoo 360 D603-2
6.4.06.4.16.4.26.4.36.4.46.4.56.4.66.4.76.4.86.4.9
Qihoo 360 D600-2
6.4.06.4.16.4.26.4.36.4.46.4.56.4.66.4.76.4.86.4.9
Qihoo 360 D606-6
6.4.06.4.16.4.26.4.36.4.46.4.56.4.66.4.76.4.86.4.9
Qihoo 360 D706
6.4.06.4.16.4.26.4.36.4.46.4.56.4.66.4.76.4.86.4.9
Qué hacer
- Verificá si usás D603-2 y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 10.0 CRÍTICA
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H/E:P/RL:X/RC:C
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Privilegios requeridosNinguno
- Interacción del usuarioNinguna
- AlcanceCambiado
- ConfidencialidadAlta
- IntegridadAlta
- DisponibilidadAlta
- Madurez del exploitPrueba de concepto
- Confianza del informeConfirmada
CVSS 4.0 · 10.0 CRÍTICA
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H/E:P
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Requisitos del ataqueNinguno
- Privilegios requeridosNinguno
- Interacción del usuarioNinguna
- Confidencialidad (sistema vulnerable)Alta
- Integridad (sistema vulnerable)Alta
- Disponibilidad (sistema vulnerable)Alta
- Confidencialidad (sistemas posteriores)Alta
- Integridad (sistemas posteriores)Alta
- Disponibilidad (sistemas posteriores)Alta
- Madurez del exploitPrueba de concepto
CVSS 3.0 · 10.0 CRÍTICA
CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H/E:P/RL:X/RC:C
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Privilegios requeridosNinguno
- Interacción del usuarioNinguna
- AlcanceCambiado
- ConfidencialidadAlta
- IntegridadAlta
- DisponibilidadAlta
- Madurez del exploitPrueba de concepto
- Confianza del informeConfirmada
Descripción original
A vulnerability was found in Qihoo 360 D603-2, D600-2, D606-6 and D706 up to 6.4.9. This affects the function testspeed_command of the file /fs2/bin/iscm. Performing a manipulation of the argument host results in os command injection. The attack may be initiated remotely. The exploit has been made public and could be used. The vendor was contacted early about this disclosure but did not respond in any way.
Referencias (5)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.