一、 漏洞 CVE-2022-50932 基础信息

                                        # 京瓷 Command Center RX ECOSYS M2035dn 目录遍历漏洞

N/A
                                        

二、漏洞 CVE-2022-50932 的公开POC

三、漏洞 CVE-2022-50932 的情报信息

• 标题： Kyocera Command Center RX ECOSYS M2035dn - Directory Traversal File Disclosure (Unauthenticated) - Hardware webapps Exploit -- 🔗来源链接

  标签：exploit

  神龙速读：

                                          ### 关键信息
  
  - **漏洞标题**: Kyocera Command Center RX ECOSYS M2035dn - Directory Traversal File Disclosure (Unauthenticated)
  - **EDB-ID**: 50738
  - **CVE**: N/A
  - **作者**: Luis Martínez
  - **类型**: WEBAPPS
  - **平台**: HARDWARE
  - **日期**: 2022-02-11
  - **易受攻击的应用**: Kyocera Command Center RX ECOSYS M2035dn
  - **漏洞类型**: Directory Traversal File Disclosure (Unauthenticated)
  - **测试版本**: ECOSYS M2035dn
  - **测试环境**: Linux
  - **证明概念**:
    - 创建目录遍历payload
    - 在payload末尾添加空字节(%00)
    - 发送请求
  - **响应示例**:
    - 成功获取了`/etc/passwd`和`/etc/shadow`文件内容
  
  ### 漏洞摘要
  此漏洞允许未经身份验证的攻击者通过目录遍历技术访问和读取设备上的敏感文件，如`/etc/passwd`和`/etc/shadow`，这可能导致敏感信息泄露和其他潜在的安全风险。
                                          

  

• 标题： Command Center RX | Business Applications | Products | KYOCERA Document Solutions Asia Limited -- 🔗来源链接

  标签：product

  神龙速读：

                                          从该网页截图中，可以获取到以下关于漏洞的关键信息：
  
  - **漏洞类型**：可能存在的漏洞主要涉及Web应用安全，尤其是涉及对设备的远程管理和控制。
  
  - **潜在攻击向量**： 
    - 由于Command Center RX允许用户通过Web浏览器查看和编辑打印设备的状态，如果存在安全性问题，攻击者可能通过Web接口或API注入恶意代码，从而获得对设备的控制权。
  
  - **影响范围**：该应用被用于管理KYOCERA多功能打印机（MFPs），因此若存在漏洞，可能会对设备状态监控、耗材管理、地址簿和文件下载等方面造成影响。
  
  - **防御建议**：
    - 使用最新的浏览器版本，以利用现代安全特性。
    - KYOCERA提供了明确的操作系统支持版本，应确保运行的系统在 安全支持周期内。
  
  - **系统要求风险**：
    - 由于明确支持Windows XP/ Vista等较老的操作系统和浏览器（如Internet Explorer 7.0），可能存在已知的安全漏洞风险。
  
  ### 推荐行动：
  - 执行漏洞扫描，以识别可能存在未修补的安全漏洞。
  - 定期更新系统及软件，以减轻已知的安全威胁。
  - 对网络环境中的KYOCERA MFP设备进行安全加固，限制非授权访问。
  
  
                                          

  

• 标题： Kyocera Command Center RX ECOSYS M2035dn - Directory Traversal File Disclosure (Unauthenticated) | Advisories | VulnCheck -- 🔗来源链接

  标签：third-party-advisory

  神龙速读：

                                          ### 关键漏洞信息
  
  **漏洞名称**: Kyocera Command Center RX ECOSYS M2035dn - Directory Traversal File Disclosure (Unauthenticated)
  
  **严重性**: 高 (High)
  
  **日期**: 2026年1月13日
  
  **CVE编号**: CVE-2022-50932
  
  **CWE编号**: CWE-22 错误限制路径名到受限目录 ('Path Traversal')
  
  **CVSS V4向量**: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N
  
  **参考链接**:
  - [ExploitDB-50738](链接)
  - [Kyocera Command Center RX官方产品页面](链接)
  
  **归功于**: Luis Martinez
  
  **描述**: 
  Kyocera Command Center RX ECOSYS M2035dn存在一个目录遍历漏洞，允许未认证的攻击者通过操纵/js/路径下的文件路径来读取敏感系统文件。攻击者可以通过发送像/js/../../../../../../../etc/passwd%00.jpg (空字节附加的遍历)这样的请求来访问关键文件，如/etc/passwd和/etc/shadow。
                                          

  
• https://nvd.nist.gov/vuln/detail/CVE-2022-50932

四、漏洞 CVE-2022-50932 的评论