CVE-2023-33373
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 33 - wyżej niż 33% wszystkich znanych CVE
Streszczenie
Connected IO w wersji 2.1.0 i wcześniejszych przechowuje hasła oraz dane uwierzytelniające w formacie tekstu jawnego, co umożliwia atakującym ich wykradzenie i wykorzystanie do podszywania się pod urządzenia.
Ocena ryzyka
Organizacja jest narażona na ryzyko nieautoryzowanego dostępu do urządzeń, co może prowadzić do poważnych naruszeń bezpieczeństwa.
Rekomendacja
Zaleca się aktualizację do najnowszej wersji Connected IO oraz wdrożenie mechanizmów szyfrowania dla przechowywanych danych uwierzytelniających.
Inne podatności w Connected IO
Zobacz wszystkie- CVE-2023-33378Krytyczne
Connected IO w wersji 2.1.0 i wcześniejszych ma podatność na wstrzykiwanie argumentów w wiadomości AT w swoim protokole komunikacyjnym, co umożliwia atakującym wykonywanie dowolnych poleceń systemowych na urządzeniach.
- CVE-2023-33377Krytyczne
Connected IO w wersji 2.1.0 i wcześniejszych ma podatność na wstrzyknięcie poleceń systemowych w komendzie ustawienia zapory, co umożliwia atakującym wykonywanie dowolnych poleceń systemowych na urządzeniach.
- CVE-2023-33376Krytyczne
Connected IO w wersji 2.1.0 i wcześniejszych ma podatność na wstrzykiwanie argumentów w komunikacie polecenia iptables w swoim protokole komunikacyjnym, co umożliwia atakującym wykonywanie dowolnych poleceń systemowych na urządzeniach.
- CVE-2023-33375Krytyczne
Connected IO w wersji 2.1.0 i wcześniejszych ma podatność na przepełnienie bufora na stosie w swoim protokole komunikacyjnym, co umożliwia atakującym przejęcie kontroli nad urządzeniami.
- CVE-2023-33374Krytyczne
Connected IO w wersji 2.1.0 i wcześniejszych posiada polecenie w swoim protokole komunikacyjnym, które pozwala platformie zarządzającej na określenie dowolnych poleceń systemowych do wykonania przez urządzenia. Atakujący mogą wykorzystać tę niebezpieczną funkcjonalność do wydawania poleceń systemowych, co prowadzi do zdalnego wykonania dowolnych poleceń.
Oryginalny opis (angielski, źródło NVD)
Connected IO v2.1.0 and prior keeps passwords and credentials in clear-text format, allowing attackers to exfiltrate the credentials and use them to impersonate the devices.