CVE-2017-11587
WysokieStreszczenie
W urządzeniach Cisco DDR2200 i DDR2201v1 występuje podatność na traversowanie katalogów w parametrze nazwy pliku w URI /download.conf.
Ocena ryzyka
Atakujący może uzyskać dostęp do plików systemowych, co może prowadzić do ujawnienia wrażliwych informacji lub dalszych ataków na urządzenie.
Rekomendacja
Zaleca się aktualizację oprogramowania urządzenia do najnowszej wersji, aby usunąć tę podatność oraz ograniczenie dostępu do interfejsu zarządzania.
Inne podatności w Cisco DDR2200 ADSL2+ Residential Gateway, Cisco DDR2201v1 ADSL2+ Residential Gateway
Zobacz wszystkie- CVE-2017-11589Krytyczne
Na urządzeniach Cisco DDR2200 i DDR2201v1 brak jest kontroli dostępu do wielu plików konfiguracyjnych, co może prowadzić do nieautoryzowanego dostępu do wrażliwych informacji.
- CVE-2017-11588Krytyczne
W urządzeniach Cisco DDR2200 i DDR2201v1 występuje podatność na zdalne wykonanie poleceń poprzez metaznaki powłoki w parametrze pingAddr do URI waitPingqry.cgi. Wynik polecenia jest widoczny w pliku /PingMsg.cmd.
Oryginalny opis (angielski, źródło NVD)
On Cisco DDR2200 ADSL2+ Residential Gateway DDR2200B-NA-AnnexA-FCC-V00.00.03.45.4E and DDR2201v1 ADSL2+ Residential Gateway DDR2201v1-NA-AnnexA-FCC-V00.00.03.28.3 devices, there is directory traversal in the filename parameter to the /download.conf URI.