CVE-2023-33374
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 67 - wyżej niż 67% wszystkich znanych CVE
Streszczenie
Connected IO w wersji 2.1.0 i wcześniejszych posiada polecenie w swoim protokole komunikacyjnym, które pozwala platformie zarządzającej na określenie dowolnych poleceń systemowych do wykonania przez urządzenia. Atakujący mogą wykorzystać tę niebezpieczną funkcjonalność do wydawania poleceń systemowych, co prowadzi do zdalnego wykonania dowolnych poleceń.
Ocena ryzyka
Wykorzystanie tej podatności może prowadzić do pełnej kontroli nad urządzeniami w sieci, co stwarza poważne zagrożenie dla bezpieczeństwa organizacji.
Rekomendacja
Zaleca się aktualizację Connected IO do najnowszej wersji, aby usunąć tę podatność oraz wdrożenie odpowiednich środków zabezpieczających w celu ograniczenia dostępu do platformy zarządzającej.
Oryginalny opis (angielski, źródło NVD)
Connected IO v2.1.0 and prior has a command as part of its communication protocol allowing the management platform to specify arbitrary OS commands for devices to execute. Attackers abusing this dangerous functionality may issue all devices OS commands to execute, resulting in arbitrary remote command execution.