CVE-2023-3260
WysokieCVSS 7.2Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 64 - wyżej niż 64% wszystkich znanych CVE
Streszczenie
Dataprobe iBoot PDU w wersji oprogramowania 1.43.03312023 lub wcześniejszej jest podatny na wstrzykiwanie poleceń poprzez parametr URL `user-name`. Złośliwy użytkownik, który jest uwierzytelniony, może wykorzystać tę podatność do wykonania dowolnych poleceń w systemie operacyjnym Linux.
Ocena ryzyka
Podatność ta może prowadzić do pełnej kompromitacji systemu operacyjnego, co stwarza poważne zagrożenie dla bezpieczeństwa organizacji. Złośliwe działania mogą skutkować utratą danych lub nieautoryzowanym dostępem do zasobów.
Rekomendacja
Zaleca się aktualizację oprogramowania do najnowszej wersji, która nie zawiera tej podatności. Dodatkowo, należy monitorować dostęp do urządzenia i wdrożyć odpowiednie środki zabezpieczające.
Inne podatności w Dataprobe iBoot PDU
Zobacz wszystkie- CVE-2023-3259Krytyczne
Dataprobe iBoot PDU w wersji oprogramowania 1.43.03312023 lub wcześniejszej jest podatny na obejście uwierzytelniania. Manipulując polem adresu IP w ciasteczku 'iBootPduSiteAuth', złośliwy użytkownik może skierować urządzenie do połączenia z fałszywą bazą danych.
- CVE-2023-3264Średnie
Dataprobe iBoot PDU w wersji oprogramowania 1.43.03312023 lub wcześniejszej używa wbudowanych poświadczeń do interakcji z wewnętrzną bazą danych Postgres. Złośliwy użytkownik, który ma możliwość wykonywania poleceń systemowych na urządzeniu, może wykorzystać tę podatność do odczytu, modyfikacji lub usunięcia dowolnych rekordów w bazie danych.
- CVE-2023-3263Wysokie
Dataprobe iBoot PDU w wersji oprogramowania 1.43.03312023 lub wcześniejszej jest podatny na obejście uwierzytelniania w interfejsie REST API z powodu niewłaściwego przetwarzania znaków specjalnych podczas analizy danych uwierzytelniających. Umożliwia to atakującemu uzyskanie ważnego tokena autoryzacyjnego oraz odczytanie informacji dotyczących stanu przekaźników i dystrybucji energii.
- CVE-2023-3262Średnie
Dataprobe iBoot PDU w wersji oprogramowania 1.43.03312023 lub wcześniejszej używa twardo zakodowanych poświadczeń do interakcji z wewnętrzną bazą danych Postgres. Złośliwy użytkownik, który ma możliwość wykonywania poleceń systemowych na urządzeniu, może wykorzystać tę podatność do odczytu, modyfikacji lub usunięcia dowolnych rekordów w bazie danych.
Oryginalny opis (angielski, źródło NVD)
The Dataprobe iBoot PDU running firmware version 1.43.03312023 or earlier is vulnerable to command injection via the `user-name` URL parameter. An authenticated malicious agent can exploit this vulnerability to execute arbitrary command on the underlying Linux operating system.