CVE-2023-2378
WysokieCVSS 7.2Prawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 90 - wyżej niż 90% wszystkich znanych CVE
Streszczenie
W urządzeniu Ubiquiti EdgeRouter X w wersji do 2.0.9-hotfix.6 wykryto podatność na wstrzykiwanie poleceń w interfejsie zarządzania przez sieć. Atak polega na manipulacji argumentem suffix-rate-up i może być przeprowadzony zdalnie. Istnienie luki jest kwestionowane, a producent uznaje, że problemy po uwierzytelnieniu nie są podatnościami.
Ocena ryzyka
Zdalny atak może pozwolić na wykonanie dowolnych poleceń w systemie, co prowadzi do pełnej kompromitacji urządzenia i potencjalnego przejęcia kontroli nad siecią.
Rekomendacja
Zaleca się ograniczenie dostępu do interfejsu zarządzania tylko do zaufanych sieci oraz zastosowanie silnego uwierzytelniania. Należy śledzić aktualizacje producenta i rozważyć modernizację sprzętu.
Inne podatności w Ubiquiti EdgeRouter X
Zobacz wszystkie- CVE-2023-2377Wysokie
Wykryto podatność w routerach Ubiquiti EdgeRouter X do wersji 2.0.9-hotfix.6. Nieznana funkcja interfejsu zarządzania WWW umożliwia wstrzyknięcie komend przez manipulację argumentem Name. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2023-2376Wysokie
Wykryto podatność w routerze Ubiquiti EdgeRouter X do wersji 2.0.9-hotfix.6. Nieznana funkcja interfejsu zarządzania siecią umożliwia wstrzyknięcie komend przez argument dpi. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.
- CVE-2023-2375Wysokie
W interfejsie zarządzania siecią Ubiquiti EdgeRouter X do wersji 2.0.9-hotfix.6 wykryto podatność na wstrzykiwanie poleceń. Atakujący może zdalnie manipulować argumentem src, co prowadzi do wykonania dowolnych poleceń. Exploit został opublikowany, co zwiększa ryzyko wykorzystania luki.
- CVE-2023-2374Wysokie
W urządzeniu Ubiquiti EdgeRouter X do wersji 2.0.9-hotfix.6 wykryto podatność na wstrzykiwanie poleceń w interfejsie zarządzania siecią. Atak polega na manipulacji argumentem ecn-down, co umożliwia zdalne wykonanie kodu. Podatność jest publicznie znana, choć jej istnienie jest kwestionowane przez producenta.
- CVE-2023-2373Wysokie
W urządzeniu Ubiquiti EdgeRouter X w wersji do 2.0.9-hotfix.6 wykryto podatność na wstrzykiwanie poleceń w interfejsie zarządzania przez sieć. Atak polega na manipulacji argumentem ecn-up, co może być wykonane zdalnie. Istnienie podatności jest kwestionowane, a producent uważa, że problemy po uwierzytelnieniu nie są uznawane za podatności.
Oryginalny opis (angielski, źródło NVD)
A flaw has been found in Ubiquiti EdgeRouter X up to 2.0.9-hotfix.6. This affects an unknown function of the component Web Management Interface. This manipulation of the argument suffix-rate-up causes command injection. The attack may be initiated remotely. The exploit has been published and may be used. The real existence of this vulnerability is still doubted at the moment. The vendor position is that post-authentication issues are not accepted as vulnerabilities.