home / blog
2026-10-30 · critica
CVE-2024-9441: RCE non autenticato in Linear eMerge e3
RCE critica non autenticata nei sistemi Linear eMerge e3-Series tramite login_id. CVSS 9,8.
CVE-2024-9441 descrive una vulnerabilità di command injection in Linear eMerge e3-Series, sistemi di controllo accessi fisici. Un attaccante remoto non autenticato può eseguire comandi OS arbitrari inviando input malevolo al parametro login_id della funzione forgot_password, sfruttabile via HTTP. Questa classe di accesso fisico è critica nelle infrastrutture aziendali.
Il CVSS è 9,8 (critical). La vulnerabilità è stata pubblicata il 2024-10-02 sulla NVD. A oggi (2026-10-30), un segnale GitHub indica l'esistenza di repository pubblici che dichiarano di contenere exploit: questo è un indicatore di interesse attivo dalla comunità di ricerca, sebbene non costituisca conferma di sfruttamento in natura.
Per difensori: inventariare tutti i sistemi Linear eMerge e3-Series in produzione; contattare il vendor per patch o security advisory; implementare segmentazione di rete per isolare questi sistemi dalla rete pubblica e da reti non controllate; monitorare i log per tentativi di accesso al parametro login_id con caratteri speciali o sequenze di comando; applicare WAF se disponibile per bloccare input malevoli.
In sintesi
- Cosa
- OS command injection nel parametro login_id della funzione forgot_password in Linear eMerge e3-Series
- Gravità
- Critical - CVSS 9,8. RCE remota non autenticata.
- Versioni interessate
- Linear eMerge e3-Series fino a versione 1.00-07
- Correzione
- Non riportato nei dati pubblici della NVD
- Stato
- Pubblicato 2024-10-02. Segnale GitHub indicativo di repository pubblici (2026-10-30).
- Azione
- Inventariare sistemi e3-Series; contattare Linear per patch; isolare dalla rete pubblica; monitorare login_id anomali via WAF o log monitoring.
Fonti: NVD, CVE-2024-9441