Alerta crítico: roteadores Qihoo 360 têm falha 10.0 de injeção de comandos e exploit público

Pesquisadores de segurança estão em alerta máximo com uma falha de severidade máxima nos roteadores Qihoo 360 D603-2, D600-2, D606-6 e D706 com firmware até 6.4.9. A função testspeed_command, no arquivo /fs2/bin/iscm, não trata corretamente o argumento host e abre espaço para injeção de comandos de sistema, que pode ser explorada remotamente.

O exploit já é público e pode ser usado em ataques reais, enquanto o fornecedor não teria respondido ao contato sobre a divulgação. Com pontuação CVSS 10.0, o recado é direto: aplique atualizações assim que possível, restrinja o acesso remoto à interface afetada e valide qualquer argumento de comando.