CVE-2018-25239
ŚrednieCVSS 6.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
Smart VPN 1.1.3.0 zawiera podatność na odmowę usługi, która pozwala lokalnym atakującym na awarię aplikacji poprzez przesłanie zbyt dużego wejścia przez interfejs wyszukiwania. Atakujący mogą wkleić bufor 2100 znaków do paska wyszukiwania w prawym górnym rogu, co wywołuje nieobsłużony wyjątek i powoduje awarię aplikacji.
Ocena ryzyka
Ryzyko polega na tym, że lokalny atakujący może celowo spowodować awarię aplikacji Smart VPN, co prowadzi do przerwania usługi VPN i potencjalnego zakłócenia pracy użytkowników.
Rekomendacja
Zaleca się aktualizację aplikacji Smart VPN do najnowszej wersji, która zawiera poprawkę ograniczającą długość wejścia w polu wyszukiwania, lub zastosowanie walidacji danych wejściowych po stronie serwera.
Oryginalny opis (angielski, źródło NVD)
Smart VPN 1.1.3.0 contains a denial of service vulnerability that allows local attackers to crash the application by submitting oversized input through the search interface. Attackers can paste a buffer of 2100 characters into the top right search bar to trigger an unhandled exception that crashes the application.