CVE-2023-3263
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 46 - wyżej niż 46% wszystkich znanych CVE
Streszczenie
Dataprobe iBoot PDU w wersji oprogramowania 1.43.03312023 lub wcześniejszej jest podatny na obejście uwierzytelniania w interfejsie REST API z powodu niewłaściwego przetwarzania znaków specjalnych podczas analizy danych uwierzytelniających. Umożliwia to atakującemu uzyskanie ważnego tokena autoryzacyjnego oraz odczytanie informacji dotyczących stanu przekaźników i dystrybucji energii.
Ocena ryzyka
Wykorzystanie tej podatności może prowadzić do nieautoryzowanego dostępu do krytycznych informacji o stanie systemu zasilania, co stwarza ryzyko dla integralności i dostępności infrastruktury IT.
Rekomendacja
Zaleca się aktualizację oprogramowania do najnowszej wersji, która eliminuje tę podatność, oraz wdrożenie dodatkowych środków zabezpieczających w celu ochrony interfejsu API.
Inne podatności w Dataprobe iBoot PDU
Zobacz wszystkie- CVE-2023-3259Krytyczne
Dataprobe iBoot PDU w wersji oprogramowania 1.43.03312023 lub wcześniejszej jest podatny na obejście uwierzytelniania. Manipulując polem adresu IP w ciasteczku 'iBootPduSiteAuth', złośliwy użytkownik może skierować urządzenie do połączenia z fałszywą bazą danych.
- CVE-2023-3264Średnie
Dataprobe iBoot PDU w wersji oprogramowania 1.43.03312023 lub wcześniejszej używa wbudowanych poświadczeń do interakcji z wewnętrzną bazą danych Postgres. Złośliwy użytkownik, który ma możliwość wykonywania poleceń systemowych na urządzeniu, może wykorzystać tę podatność do odczytu, modyfikacji lub usunięcia dowolnych rekordów w bazie danych.
- CVE-2023-3262Średnie
Dataprobe iBoot PDU w wersji oprogramowania 1.43.03312023 lub wcześniejszej używa twardo zakodowanych poświadczeń do interakcji z wewnętrzną bazą danych Postgres. Złośliwy użytkownik, który ma możliwość wykonywania poleceń systemowych na urządzeniu, może wykorzystać tę podatność do odczytu, modyfikacji lub usunięcia dowolnych rekordów w bazie danych.
- CVE-2023-3260Wysokie
Dataprobe iBoot PDU w wersji oprogramowania 1.43.03312023 lub wcześniejszej jest podatny na wstrzykiwanie poleceń poprzez parametr URL `user-name`. Złośliwy użytkownik, który jest uwierzytelniony, może wykorzystać tę podatność do wykonania dowolnych poleceń w systemie operacyjnym Linux.
Oryginalny opis (angielski, źródło NVD)
The Dataprobe iBoot PDU running firmware version 1.43.03312023 or earlier is vulnerable to authentication bypass in the REST API due to the mishandling of special characters when parsing credentials.Successful exploitation allows the malicious agent to obtain a valid authorization token and read information relating to the state of the relays and power distribution.