Aktywnie wykorzystywana w atakach
Array Networks AG and vxAG ArrayOS Missing Authentication for Critical Function Vulnerability
Array Networks - AG/vxAG ArrayOS · Figuruje w katalogu CISA KEV od 2024-11-25. Oznacza to potwierdzone ataki w środowisku produkcyjnym.
Wymagane działanie: Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.
CVE-2023-28461
KrytyczneCVSS 9.8KEVPrawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 99 - wyżej niż 99% wszystkich znanych CVE
Streszczenie
Array Networks Array AG Series i vxAG (9.4.0.481 i wcześniejsze) pozwalają na zdalne wykonanie kodu. Atakujący może przeglądać system plików na bramie SSL VPN, używając atrybutu flags w nagłówku HTTP bez uwierzytelnienia. Produkt może być następnie wykorzystany przez podatny URL.
Ocena ryzyka
Nieuwierzytelniony atakujący może uzyskać dostęp do plików i wykonać kod na bramie VPN, co może prowadzić do naruszenia poufności i integralności sieci.
Rekomendacja
Zaktualizuj Array AG do wersji z poprawką, gdy będzie dostępna, i ogranicz dostęp do bramy VPN.
Oryginalny opis (angielski, źródło NVD)
Array Networks Array AG Series and vxAG (9.4.0.481 and earlier) allow remote code execution. An attacker can browse the filesystem on the SSL VPN gateway using a flags attribute in an HTTP header without authentication. The product could then be exploited through a vulnerable URL. The 2023-03-09 vendor advisory stated "a new Array AG release with the fix will be available soon."