CVE-2023-2377
WysokieCVSS 7.2Prawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 90 - wyżej niż 90% wszystkich znanych CVE
Streszczenie
Wykryto podatność w routerach Ubiquiti EdgeRouter X do wersji 2.0.9-hotfix.6. Nieznana funkcja interfejsu zarządzania WWW umożliwia wstrzyknięcie komend przez manipulację argumentem Name. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
Ocena ryzyka
Organizacja narażona jest na zdalne przejęcie kontroli nad urządzeniem przez uwierzytelnionego atakującego, co może prowadzić do naruszenia integralności sieci i wycieku danych.
Rekomendacja
Zaleca się aktualizację oprogramowania do najnowszej wersji oraz ograniczenie dostępu do interfejsu zarządzania tylko dla zaufanych adresów IP.
Inne podatności w Ubiquiti EdgeRouter X
Zobacz wszystkie- CVE-2023-2378Wysokie
W urządzeniu Ubiquiti EdgeRouter X w wersji do 2.0.9-hotfix.6 wykryto podatność na wstrzykiwanie poleceń w interfejsie zarządzania przez sieć. Atak polega na manipulacji argumentem suffix-rate-up i może być przeprowadzony zdalnie. Istnienie luki jest kwestionowane, a producent uznaje, że problemy po uwierzytelnieniu nie są podatnościami.
- CVE-2023-2376Wysokie
Wykryto podatność w routerze Ubiquiti EdgeRouter X do wersji 2.0.9-hotfix.6. Nieznana funkcja interfejsu zarządzania siecią umożliwia wstrzyknięcie komend przez argument dpi. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.
- CVE-2023-2375Wysokie
W interfejsie zarządzania siecią Ubiquiti EdgeRouter X do wersji 2.0.9-hotfix.6 wykryto podatność na wstrzykiwanie poleceń. Atakujący może zdalnie manipulować argumentem src, co prowadzi do wykonania dowolnych poleceń. Exploit został opublikowany, co zwiększa ryzyko wykorzystania luki.
- CVE-2023-2374Wysokie
W urządzeniu Ubiquiti EdgeRouter X do wersji 2.0.9-hotfix.6 wykryto podatność na wstrzykiwanie poleceń w interfejsie zarządzania siecią. Atak polega na manipulacji argumentem ecn-down, co umożliwia zdalne wykonanie kodu. Podatność jest publicznie znana, choć jej istnienie jest kwestionowane przez producenta.
- CVE-2023-2373Wysokie
W urządzeniu Ubiquiti EdgeRouter X w wersji do 2.0.9-hotfix.6 wykryto podatność na wstrzykiwanie poleceń w interfejsie zarządzania przez sieć. Atak polega na manipulacji argumentem ecn-up, co może być wykonane zdalnie. Istnienie podatności jest kwestionowane, a producent uważa, że problemy po uwierzytelnieniu nie są uznawane za podatności.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was detected in Ubiquiti EdgeRouter X up to 2.0.9-hotfix.6. The impacted element is an unknown function of the component Web Management Interface. The manipulation of the argument Name results in command injection. The attack can be launched remotely. The exploit is now public and may be used. There is ongoing doubt regarding the real existence of this vulnerability. The vendor position is that post-authentication issues are not accepted as vulnerabilities.