The VPN software within HP ThinPro does not safely handle user supplied input, which may be leveraged by an attacker to inject commands that

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

• hp thinpro6.2
• hp thinpro6.2.1
• hp thinpro7.0
• hp thinpro7.1

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (hp). Не зависят от анализа CPE в NVD и обычно опережают его.

• HP ThinPro Linux

  • 6.2, 6.2.1, 7.0, 7.1затронута

Другие записи с наивысшей оценкой для того же основного продукта.

• CVE-2025-43017HP ThinPro 8.1 SP8 Security Updates
  34Наблюдать
• CVE-2017-2740A potential security vulnerability has been identified with the command line shell of the HP ThinPro operating system 6.1, 5.2.1, 5.2, 5.1,
  31Наблюдать
• CVE-2016-2246HP ThinPro 4.4 through 6.1 mishandles the keyboard layout control panel and virtual keyboard application, which allows local users to bypass
  31Наблюдать
• CVE-2019-18910The Citrix Receiver wrapper function does not safely handle user supplied input, which may be leveraged by an attacker to inject commands th
  27Наблюдать
• CVE-2019-16287In HP ThinPro Linux 6.2, 6.2.1, 7.0 and 7.1, an attacker may be able to leverage the application filter bypass vulnerability to gain privile
  27Наблюдать
• CVE-2022-1602A potential security vulnerability has been identified in HP ThinPro 7.2 Service Pack 8 (SP8).
  22Наблюдать

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Первопричина

Пользовательский ввод вставляется в команду оболочки как текст. Оболочка может интерпретировать специальные символы во вводе как часть команды.

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

1const host = req.body.host;2exec("ping -c 1 " + host, onResult);

1const host = req.body.host;2if (!/^[a-z0-9.-]{1,253}$/i.test(host)) return res.sendStatus(400);3execFile("ping", ["-c", "1", host], onResult);

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.