CVE-2017-11589
KrytyczneStreszczenie
Na urządzeniach Cisco DDR2200 i DDR2201v1 brak jest kontroli dostępu do wielu plików konfiguracyjnych, co może prowadzić do nieautoryzowanego dostępu do wrażliwych informacji.
Ocena ryzyka
Brak kontroli dostępu stwarza ryzyko, że nieautoryzowani użytkownicy mogą uzyskać dostęp do krytycznych danych i konfiguracji, co może prowadzić do naruszenia bezpieczeństwa sieci.
Rekomendacja
Zaleca się wdrożenie odpowiednich mechanizmów kontroli dostępu do wymienionych plików, aby zabezpieczyć urządzenia przed nieautoryzowanym dostępem.
Inne podatności w Cisco DDR2200 ADSL2+ Residential Gateway, Cisco DDR2201v1 ADSL2+ Residential Gateway
Zobacz wszystkie- CVE-2017-11587Wysokie
W urządzeniach Cisco DDR2200 i DDR2201v1 występuje podatność na traversowanie katalogów w parametrze nazwy pliku w URI /download.conf.
- CVE-2017-11588Krytyczne
W urządzeniach Cisco DDR2200 i DDR2201v1 występuje podatność na zdalne wykonanie poleceń poprzez metaznaki powłoki w parametrze pingAddr do URI waitPingqry.cgi. Wynik polecenia jest widoczny w pliku /PingMsg.cmd.
Oryginalny opis (angielski, źródło NVD)
On Cisco DDR2200 ADSL2+ Residential Gateway DDR2200B-NA-AnnexA-FCC-V00.00.03.45.4E and DDR2201v1 ADSL2+ Residential Gateway DDR2201v1-NA-AnnexA-FCC-V00.00.03.28.3 devices, there is no access control for info.html, wancfg.cmd, rtroutecfg.cmd, arpview.cmd, cpuview.cmd, memoryview.cmd, statswan.cmd, statsatm.cmd, scsrvcntr.cmd, scacccntr.cmd, logview.cmd, voicesipview.cmd, usbview.cmd, wlmacflt.cmd, wlwds.cmd, wlstationlist.cmd, HPNAShow.cmd, HPNAView.cmd, qoscls.cmd, qosqueue.cmd, portmap.cmd, scmacflt.cmd, scinflt.cmd, scoutflt.cmd, certlocal.cmd, or certca.cmd.