AMTT Hotel Broadband Operation System（HiBOS）には、/manager/radius/server_ping.php エンドポイントに認証なしのコマンドインジェクション脆弱性が存在します。このアプリケーションは、ユーザーが指定した ip パラメータを含むシェルコマンドを構築し、適切な検証やエスケープを行わずに実行しています。攻撃者は、ip パラメータにシェルのメタ文字を挿入することで、任意のシステムコマンドをWebサーバーユーザーとして注入し、実行できます。2016年に最初の第三者による開示が行われた際、ベンダーへ修正方法を問い合わせることが推奨されました。さらに、この製品は別名でリブランディングされている可能性もあります。VulnCheckは、この脆弱性が2025年10月14日 04:45:53.510819 UTC時点で実際に悪用されていることを観測しています。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。