CVE-2023-33369
KrytyczneCVSS 9.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 50 - wyżej niż 50% wszystkich znanych CVE
Streszczenie
W systemie Control ID IDSecure w wersji 4.7.26.0 i wcześniejszych występuje podatność na przejście ścieżki, która umożliwia atakującym usuwanie dowolnych plików z systemu plików IDSecure, co prowadzi do odmowy usługi.
Ocena ryzyka
Podatność ta może prowadzić do poważnych zakłóceń w działaniu systemu, co może wpłynąć na dostępność usług organizacji.
Rekomendacja
Zaleca się aktualizację do najnowszej wersji IDSecure, aby usunąć tę podatność oraz monitorowanie systemu w celu wykrycia potencjalnych prób ataków.
Inne podatności w Control ID IDSecure
Zobacz wszystkie- CVE-2026-92626Wysokie
Control iD iDSecure w wersjach przed 4.8.3.0 jest podatny na nieuwierzytelniony atak odmowy usługi. Endpoint /api/dguardintegration/dguardVersion odwołuje się do stanu logowania integracji DGuard, który może być nieustawiony, powodując nieobsłużony wyjątek null reference w asynchronicznej metodzie zwracającej void, co może zakończyć proces iDSecure.
- CVE-2026-92625Wysokie
Control iD iDSecure w wersjach przed 4.8.3.0 jest podatny na nieuwierzytelniony atak odmowy usługi. Endpoint /api/license/restartService jest dostępny bez uwierzytelnienia i wywołuje wewnętrzną procedurę, która kończy proces usługi iDSecure i uruchamia go ponownie za pomocą wygenerowanego skryptu wsadowego, co pozwala atakującemu na ciągłe restartowanie usługi.
- CVE-2023-33370Wysokie
W wersjach Control ID IDSecure 4.7.26.0 i wcześniejszych występuje podatność na nieobsługiwaną wyjątek, która pozwala atakującym na spowodowanie awarii głównego serwera WWW IDSecure, co prowadzi do odmowy usługi.
- CVE-2023-33368Średnie
W wersjach Control ID IDSecure 4.7.26.0 i wcześniejszych istnieją niektóre trasy API, które wyciekają wrażliwe informacje oraz hasła do użytkowników uzyskujących dostęp do tych tras API.
Oryginalny opis (angielski, źródło NVD)
A path traversal vulnerability exists in Control ID IDSecure 4.7.26.0 and prior, allowing attackers to delete arbitrary files on IDSecure filesystem, causing a denial of service.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS