CVE-2021-27132
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 97 - wyżej niż 97% wszystkich znanych CVE
Streszczenie
Urządzenia SerComm AG Combo VD625 z oprogramowaniem AGSOT_2.1.0 są podatne na wstrzykiwanie znaków CRLF w funkcji pobierania plików. Atakujący może manipulować nagłówkiem Content-Disposition, co umożliwia wstrzyknięcie dowolnych nagłówków HTTP.
Ocena ryzyka
Ryzyko polega na możliwości przeprowadzenia ataków typu HTTP response splitting, co może prowadzić do przechwytywania sesji, zatruwania pamięci podręcznej lub wyświetlania złośliwych treści użytkownikom.
Rekomendacja
Należy zaktualizować oprogramowanie urządzeń SerComm AG Combo VD625 do najnowszej wersji, która usuwa podatność na wstrzykiwanie CRLF. W międzyczasie zaleca się ograniczenie dostępu do funkcji pobierania plików tylko dla zaufanych użytkowników.
Oryginalny opis (angielski, źródło NVD)
SerComm AG Combo VD625 AGSOT_2.1.0 devices allow CRLF injection (for HTTP header injection) in the download function via the Content-Disposition header.