CVE-2020-21883

WysokieCVSS 8.8

Opublikowano: 09/04/2021(UTC)Zaktualizowano: 09/07/2026(UTC)Przetłumaczono: 10/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Bardzo wysokie ryzyko

5.65%

Percentyl 92 - wyżej niż 92% wszystkich znanych CVE

Streszczenie

Urządzenia UniBox U-50 2.4, Enterprise Series 2.4 oraz Campus Series 2.4 zawierają podatność na wstrzykiwanie poleceń systemu operacyjnego w skrypcie /tools/ping. Luka ta umożliwia atakującemu przejęcie pełnej kontroli nad urządzeniem.

Ocena ryzyka

Ryzyko dla organizacji obejmuje całkowite przejęcie urządzenia przez atakującego, co może prowadzić do naruszenia poufności, integralności i dostępności danych oraz sieci.

Rekomendacja

Zaleca się natychmiastową aktualizację oprogramowania sprzętowego do najnowszej wersji oraz ograniczenie dostępu do interfejsu zarządzania tylko do zaufanych adresów IP.

Inne podatności w UniBox

CVE-2020-21884Wysokie
Unibox SMB 2.4, UniBox Enterprise Series 2.4 oraz UniBox Campus Series 2.4 zawierają podatność na fałszerstwo żądania międzywitrynowego (CSRF) w kilku endpointach, takich jak /tools/network-trace, /list_users, /list_byod?usertype=raduser, /dhcp_leases oraz /go?rid=202. Specjalnie spreparowane żądanie HTTP może umożliwić atakującemu ponowne skonfigurowanie urządzenia bez zgody administratora.

Oryginalny opis (angielski, źródło NVD)

Unibox U-50 2.4 and UniBox Enterprise Series 2.4 and UniBox Campus Series 2.4 contain a OS command injection vulnerability in /tools/ping, which can leads to complete device takeover.