CVE-2017-8836
WysokieStreszczenie
Na urządzeniach Peplink Balance 305, 380, 580, 710, 1350 i 2500 z firmware przed wersją 7.0.1-build2093 występuje podatność CSRF. Skrypty CGI w interfejsie administracyjnym są narażone, co pozwala atakującemu na wykonanie poleceń, jeśli zalogowany użytkownik odwiedzi złośliwą stronę internetową.
Ocena ryzyka
Podatność ta może prowadzić do nieautoryzowanej zmiany danych logowania do interfejsu administracyjnego, co stwarza poważne zagrożenie dla bezpieczeństwa organizacji.
Rekomendacja
Zaleca się aktualizację firmware do wersji 7.0.1-build2093 lub nowszej, aby usunąć tę podatność.
Inne podatności w Peplink Balance 305, 380, 580, 710, 1350, 2500
Zobacz wszystkie- CVE-2017-8841Wysokie
Na urządzeniach Peplink Balance 305, 380, 580, 710, 1350 i 2500 z firmware przed wersją 7.0.1-build2093 występuje podatność na usuwanie dowolnych plików. Atak polega na wykorzystaniu przejścia przez absolutną ścieżkę w pliku cgi-bin/MANGA/firmware_process.cgi za pomocą parametru upfile.path.
- CVE-2017-8837Krytyczne
Na urządzeniach Peplink Balance 305, 380, 580, 710, 1350 i 2500 z firmware przed wersją 7.0.1-build2093 występuje przechowywanie haseł w postaci niezaszyfrowanej. Pliki /etc/waipass i /etc/roapass zawierają hasła, które mogą być łatwo odczytane przez atakującego.
- CVE-2017-8835Krytyczne
W urządzeniach Peplink Balance 305, 380, 580, 710, 1350 i 2500 z firmware przed wersją 7.0.1-build2093 występuje podatność na wstrzykiwanie SQL. Atakujący może wykorzystać ciasteczko bauth do uzyskania dostępu do cgi-bin/MANGA/admin.cgi, co pozwala na enumerację kont użytkowników.
Oryginalny opis (angielski, źródło NVD)
CSRF exists on Peplink Balance 305, 380, 580, 710, 1350, and 2500 devices with firmware before fw-b305hw2_380hw6_580hw2_710hw3_1350hw2_2500-7.0.1-build2093. The CGI scripts in the administrative interface are affected. This allows an attacker to execute commands, if a logged in user visits a malicious website. This can for example be used to change the credentials of the administrative webinterface.