CVE-2023-2378
WysokieCVSS 7.2Prawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 90 - wyżej niż 90% wszystkich znanych CVE
Streszczenie
W urządzeniu Ubiquiti EdgeRouter X w wersji do 2.0.9-hotfix.6 wykryto podatność na wstrzykiwanie poleceń w interfejsie zarządzania przez sieć. Atak polega na manipulacji argumentem suffix-rate-up i może być przeprowadzony zdalnie. Istnienie luki jest kwestionowane, a producent uznaje, że problemy po uwierzytelnieniu nie są podatnościami.
Ocena ryzyka
Zdalny atak może pozwolić na wykonanie dowolnych poleceń w systemie, co prowadzi do pełnej kompromitacji urządzenia i potencjalnego przejęcia kontroli nad siecią.
Rekomendacja
Zaleca się ograniczenie dostępu do interfejsu zarządzania tylko do zaufanych sieci oraz zastosowanie silnego uwierzytelniania. Należy śledzić aktualizacje producenta i rozważyć modernizację sprzętu.
Oryginalny opis (angielski, źródło NVD)
A flaw has been found in Ubiquiti EdgeRouter X up to 2.0.9-hotfix.6. This affects an unknown function of the component Web Management Interface. This manipulation of the argument suffix-rate-up causes command injection. The attack may be initiated remotely. The exploit has been published and may be used. The real existence of this vulnerability is still doubted at the moment. The vendor position is that post-authentication issues are not accepted as vulnerabilities.