CVE-2023-2374
WysokieCVSS 7.2Prawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 90 - wyżej niż 90% wszystkich znanych CVE
Streszczenie
W urządzeniu Ubiquiti EdgeRouter X do wersji 2.0.9-hotfix.6 wykryto podatność na wstrzykiwanie poleceń w interfejsie zarządzania siecią. Atak polega na manipulacji argumentem ecn-down, co umożliwia zdalne wykonanie kodu. Podatność jest publicznie znana, choć jej istnienie jest kwestionowane przez producenta.
Ocena ryzyka
Ryzyko polega na możliwości zdalnego przejęcia kontroli nad urządzeniem przez uwierzytelnionego atakującego, co może prowadzić do naruszenia integralności sieci i dostępu do poufnych danych.
Rekomendacja
Zaleca się natychmiastową aktualizację oprogramowania do najnowszej dostępnej wersji oraz ograniczenie dostępu do interfejsu zarządzania tylko dla zaufanych adresów IP.
Oryginalny opis (angielski, źródło NVD)
A security flaw has been discovered in Ubiquiti EdgeRouter X up to 2.0.9-hotfix.6. This issue affects some unknown processing of the component Web Management Interface. Performing a manipulation of the argument ecn-down results in command injection. It is possible to initiate the attack remotely. The exploit has been released to the public and may be used for attacks. The existence of this vulnerability is still disputed at present. The vendor position is that post-authentication issues are not accepted as vulnerabilities.