CVE-2017-20236
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 48 - wyżej niż 48% wszystkich znanych CVE
Streszczenie
W bramach komórkowych ProSoft Technology ICX35-HWC w wersji 1.3 i wcześniejszych wykryto podatność na wstrzykiwanie poleceń systemowych przez interfejs WWW. Luka wynika z braku walidacji danych wejściowych, co umożliwia zdalnemu atakującemu wykonanie dowolnych poleceń z uprawnieniami roota.
Ocena ryzyka
Atakujący może przejąć pełną kontrolę nad urządzeniem, co prowadzi do naruszenia poufności, integralności i dostępności danych oraz potencjalnego wykorzystania bramy jako punktu wejścia do sieci wewnętrznej organizacji.
Rekomendacja
Należy niezwłocznie zaktualizować oprogramowanie bram ICX35-HWC do najnowszej dostępnej wersji, która usuwa tę podatność. Jeśli aktualizacja nie jest możliwa, należy ograniczyć dostęp do interfejsu WWW tylko do zaufanych sieci.
Oryginalny opis (angielski, źródło NVD)
ProSoft Technology ICX35-HWC versions 1.3 and prior cellular gateways contain an input validation vulnerability in the web user interface that allows remote attackers to inject and execute system commands by submitting malicious input through unvalidated fields. Attackers can exploit this vulnerability to gain root privileges and execute arbitrary commands on the device through the accessible web interface.