CVE-2017-9492

Wysokie

Opublikowano: 31/07/2017(UTC)Przetłumaczono: 15/06/2026(UTC)NVD NIST

Streszczenie

Oprogramowanie sprzętowe Comcast na urządzeniach Cisco DPC3939, DPC3939B, DPC3941T oraz Arris TG1682G nie zawiera flagi HTTPOnly w nagłówku Set-Cookie dla aplikacji administracyjnych. To zwiększa ryzyko, że zdalni atakujący mogą uzyskać dostęp do potencjalnie wrażliwych informacji poprzez skrypty.

Ocena ryzyka

Brak flagi HTTPOnly w ciasteczkach może prowadzić do kradzieży sesji i ujawnienia danych użytkowników, co stwarza poważne zagrożenie dla bezpieczeństwa organizacji.

Rekomendacja

Zaleca się aktualizację oprogramowania sprzętowego do najnowszej wersji, która wprowadza flagę HTTPOnly w nagłówku Set-Cookie, aby zminimalizować ryzyko ataków.

Inne podatności w Cisco DPC3939, Cisco DPC3939B, Cisco DPC3941T, Arris TG1682G

CVE-2017-9521Krytyczne
Oprogramowanie układowe urządzeń Cisco DPC3939, DPC3939B, DPC3941T oraz Arris TG1682G zawiera podatność, która pozwala zdalnym atakującym na wykonanie dowolnego kodu poprzez określoną, ale nieujawnioną usługę. Problem dotyczy tylko jednej usługi, która jest niepotrzebnie wystawiona na zewnątrz.

Oryginalny opis (angielski, źródło NVD)

The Comcast firmware on Cisco DPC3939 (firmware version dpc3939-P20-18-v303r20421733-160420a-CMCST); Cisco DPC3939 (firmware version dpc3939-P20-18-v303r20421746-170221a-CMCST); Cisco DPC3939B (firmware version dpc3939b-v303r204217-150321a-CMCST); Cisco DPC3941T (firmware version DPC3941_2.5s3_PROD_sey); and Arris TG1682G (eMTA&DOCSIS version 10.0.132.SIP.PC20.CT, software version TG1682_2.2p7s2_PROD_sey) devices does not include the HTTPOnly flag in a Set-Cookie header for administration applications, which makes it easier for remote attackers to obtain potentially sensitive information via script access to cookies.