关键漏洞信息 标题: (0Day) Kenwood DMX958XR Firmware Update Command Injection Vulnerability ID: - ZDI-25-794 - ZDI-CAN-26269 CVE ID: CVE-2025-8646 CVSS Score: 6.8, AV:P/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H 受影响厂商: Kenwood 受影响产品: DMX958XR 漏洞详情: - 此漏洞允许物理存在的攻击者在受影响的Kenwood DMX958XR设备上执行任意代码。利用此漏洞不需要身份验证。 - 具体问题存在于固件更新过程中，由于对用户提供的字符串缺乏适当的验证，在使用它执行系统调用之前，导致了这一问题。攻击者可以利用此漏洞以root权限执行代码。 额外细节: - 2025-03-04: ZDI向厂商报告了漏洞。 - 2025-03-18: 厂商确认了报告。 - 2025-05-15: 厂商请求更多时间决定是否发布修复。 - 2025-06-25: 厂商表示正在处理报告的漏洞。 - 2025-07-29: ZDI要求更新，并告知厂商如果没有可用的补丁，将在2025年8月1日发布零日公告。 - 2025-07-31: 厂商请求延期至九月下旬，ZDI拒绝。 - 缓解措施: 鉴于漏洞的性质，唯一的有效缓解策略是限制与产品的交互。 披露时间线: - 2025-03-04: 向厂商报告漏洞 - 2025-08-05: 协调公开发布咨询 - 2025-08-05: 更新咨询 致谢: @ByteInsight