CVE-2023-29778

KrytyczneCVSS 9.8

Opublikowano: 02/05/2023(UTC)Zaktualizowano: 09/07/2026(UTC)Przetłumaczono: 10/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Bardzo wysokie ryzyko

15.88%

Percentyl 97 - wyżej niż 97% wszystkich znanych CVE

Streszczenie

W systemie GL.iNET MT3000 w wersji 4.1.0 Release 2 wykryto podatność na wstrzykiwanie poleceń systemu operacyjnego przez endpoint /usr/lib/oui-httpd/rpc/logread. Atakujący może zdalnie wykonać dowolne polecenia w systemie.

Ocena ryzyka

Ryzyko dla organizacji obejmuje całkowite przejęcie kontroli nad urządzeniem, co może prowadzić do kradzieży danych, dalszych ataków w sieci lub wykorzystania urządzenia jako elementu botnetu.

Rekomendacja

Zaleca się natychmiastową aktualizację oprogramowania sprzętowego do najnowszej wersji oraz ograniczenie dostępu do interfejsu zarządzania tylko do zaufanych sieci.

Inne podatności w GL.iNET MT3000

CVE-2026-11406Średnie
Podatność w GL.iNet MT3000 do wersji 4.4.5. Nieznany kod w pliku ovpnclient.sh komponentu OpenVPN Client Import Workflow umożliwia wstrzyknięcie poleceń. Atak zdalny, exploit publiczny. Poprawka w wersji 4.9.0_beta3-1012-0513-1778656146.

Oryginalny opis (angielski, źródło NVD)

GL.iNET MT3000 4.1.0 Release 2 is vulnerable to OS Command Injection via /usr/lib/oui-httpd/rpc/logread.