Schneider Electric corrigió una vulnerabilidad crítica (CVE-2018-7233, CVSS 9.8) en sus cámaras de vigilancia Pelco Sarix Professional. El fallo, clasificado como CWE-20 (validación de entrada insuficiente), permite la ejecución de comandos arbitrarios porque el firmware no valida los metacaracteres de shell en los campos 'model_name' y 'mac_address'. Afecta a todas las versiones de firmware anteriores a la 3.29.67.
El impacto real es alto: un atacante que alcance la interfaz afectada podría ejecutar comandos en el dispositivo, aunque Shodan no tiene hosts indexados con este CVE detectado actualmente, lo que sugiere que la exposición directa en internet es baja. GitHub mantiene un aviso de seguridad con severidad CRITICAL (GHSA-949j-6rq4-px75). Se recomienda actualizar el firmware a la versión 3.29.67 o superior.
| CVE | CVE-2018-7233 |
|---|---|
| Severidad | CRITICAL |
| CVSS | 9.8 / 10 |
| EPSS | 2.1% en 30 días (percentil 80) |
| CWE | CWE-20 |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |