CVE-2023-2373
WysokieCVSS 7.2Prawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 90 - wyżej niż 90% wszystkich znanych CVE
Streszczenie
W urządzeniu Ubiquiti EdgeRouter X w wersji do 2.0.9-hotfix.6 wykryto podatność na wstrzykiwanie poleceń w interfejsie zarządzania przez sieć. Atak polega na manipulacji argumentem ecn-up, co może być wykonane zdalnie. Istnienie podatności jest kwestionowane, a producent uważa, że problemy po uwierzytelnieniu nie są uznawane za podatności.
Ocena ryzyka
Ryzyko polega na możliwości zdalnego wykonania dowolnych poleceń przez uwierzytelnionego atakującego, co może prowadzić do pełnego przejęcia kontroli nad urządzeniem i naruszenia bezpieczeństwa sieci.
Rekomendacja
Zaleca się aktualizację oprogramowania do najnowszej wersji, jeśli dostępna, oraz ograniczenie dostępu do interfejsu zarządzania tylko do zaufanych adresów IP. Należy również monitorować dostępność poprawek bezpieczeństwa od producenta.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was identified in Ubiquiti EdgeRouter X up to 2.0.9-hotfix.6. This vulnerability affects unknown code of the component Web Management Interface. Such manipulation of the argument ecn-up leads to command injection. The attack may be performed from remote. The exploit is publicly available and might be used. The actual existence of this vulnerability is currently in question. The vendor position is that post-authentication issues are not accepted as vulnerabilities.