Post Oak AWAM Bluetooth Field Device操作系统命令注入漏洞

CVE编号

CVE-2020-9021

利用情况

暂无

补丁情况

N/A

披露时间

2020-02-17

漏洞描述

Post Oak Traffic Systems AWAM Bluetooth Field Device是美国Post Oak Traffic Systems公司的一款道路交通监测现场设备。 Post Oak Traffic Systems AWAM Bluetooth Field Device中的timeconfig.py文件存在操作系统命令注入漏洞。远程攻击者可借助带有shell元字符的‘htmlNtpServer’参数利用该漏洞在系统上执行任意OS命令。以下产品及版本受到影响：使用7400v2.08.21.2018版本固件的Post Oak AWAM Bluetooth Field Device，使用7800SD.2015.1.16版本固件的Post Oak AWAM Bluetooth Field Device，使用2011.3版本固件的Post Oak AWAM Bluetooth Field Device，使用 7400v2.02.01.2019版本固件的Post Oak AWAM Bluetooth Field Device，使用7800SD.2012.12.5版本固件的Post Oak AWAM Bluetooth Field Devic。

解决建议

建议您更新当前系统或软件至最新版，完成漏洞的修复。

参考链接
https://sku11army.blogspot.com/2020/01/post-oak-traffic-systems-awam-bluetooth.html

受影响软件情况

#	类型	厂商	产品	版本	影响面
1
	运行在以下环境
	系统	postoaktraffic	awam_bluetooth_field_device_firmware	2011.3	-
	运行在以下环境
	系统	postoaktraffic	awam_bluetooth_field_device_firmware	7400v2.02.01.2019	-
	运行在以下环境
	系统	postoaktraffic	awam_bluetooth_field_device_firmware	7400v2.08.21.2018	-
	运行在以下环境
	系统	postoaktraffic	awam_bluetooth_field_device_firmware	7800sd.2012.12.5	-
	运行在以下环境
	系统	postoaktraffic	awam_bluetooth_field_device_firmware	7800sd.2015.1.16	-
	运行在以下环境
	硬件	postoaktraffic	awam_bluetooth_field_device	-	-
查看完整数据

CVSS3评分 9.8

• 攻击路径 网络
• 攻击复杂度 低
• 权限要求 无
• 影响范围 未更改
• 用户交互 无
• 可用性 高
• 保密性 高
• 完整性 高

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H CWE-ID 漏洞类型 CWE-78 OS命令中使用的特殊元素转义处理不恰当（OS命令注入）