CVE-2022-31808
WysokieCVSS 7.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 13 - wyżej niż 13% wszystkich znanych CVE
Streszczenie
Podatność w SiPass integrated AC5102 (ACC-G2) (wersje < V2.85.44) i ACC-AP (wersje < V2.85.43) polega na niewłaściwej sanityzacji danych wejściowych w interfejsie wiersza poleceń telnet. Uwierzytelniony użytkownik może eskalować uprawnienia, wstrzykując dowolne polecenia wykonywane z uprawnieniami roota.
Ocena ryzyka
Uwierzytelniony atakujący może uzyskać pełną kontrolę nad urządzeniem, co prowadzi do poważnego naruszenia bezpieczeństwa systemu kontroli dostępu.
Rekomendacja
Zaktualizuj SiPass integrated do wersji V2.85.44 (ACC-G2) lub V2.85.43 (ACC-AP) i ogranicz dostęp do interfejsu telnet.
Inne podatności w SiPass integrated
Zobacz wszystkie- CVE-2025-40774Średnie
W SiPass integrated (wszystkie wersje < V3.0) aplikacje serwerowe przechowują hasła użytkowników w bazie danych w formie zaszyfrowanej. Klucze deszyfrujące są dostępne dla użytkowników z uprawnieniami administracyjnymi, co pozwala im odzyskać hasła. Udane wykorzystanie pozwala atakującemu uzyskać i użyć ważnych haseł użytkowników, co może prowadzić do nieautoryzowanego dostępu, wycieku danych i kompromitacji systemu.
- CVE-2025-40773Niskie
W systemie SiPass integrated (wszystkie wersje przed V3.0) wykryto podatność związaną z uszkodzoną kontrolą dostępu. Mechanizm autoryzacji nie zawiera wystarczających kontroli po stronie serwera, co pozwala atakującemu na wykonanie konkretnego żądania API.
- CVE-2025-40772Wysokie
W SiPass integrated (wszystkie wersje < V3.0) wykryto podatność typu stored Cross-Site Scripting (XSS) w aplikacjach serwerowych. Atakujący może wstrzyknąć złośliwy kod, który zostanie wykonany przez innych użytkowników odwiedzających podatną stronę.
- CVE-2022-31810Wysokie
W SiPass integrated (wszystkie wersje < V2.90.3.8) aplikacje serwerowe nieprawidłowo sprawdzają rozmiar pakietów danych odbieranych podczas logowania klienta konfiguracji, co powoduje przepełnienie bufora na stosie. Może to pozwolić nieuwierzytelnionemu zdalnemu atakującemu na zawieszenie aplikacji serwerowej i wywołanie odmowy usługi.
Oryginalny opis (angielski, źródło NVD)
A vulnerability has been identified in SiPass integrated AC5102 (ACC-G2) (All versions < V2.85.44), SiPass integrated ACC-AP (All versions < V2.85.43). Affected devices improperly sanitize user input on the telnet command line interface. This could allow an authenticated user to escalate privileges by injecting arbitrary commands that are executed with root privileges.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS