CVE-2023-33377
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 71 - wyżej niż 71% wszystkich znanych CVE
Streszczenie
Connected IO w wersji 2.1.0 i wcześniejszych ma podatność na wstrzyknięcie poleceń systemowych w komendzie ustawienia zapory, co umożliwia atakującym wykonywanie dowolnych poleceń systemowych na urządzeniach.
Ocena ryzyka
Podatność ta może prowadzić do przejęcia kontroli nad urządzeniami, co stwarza poważne zagrożenie dla bezpieczeństwa systemów w organizacji.
Rekomendacja
Zaleca się aktualizację do najnowszej wersji Connected IO, aby usunąć tę podatność oraz monitorowanie systemów pod kątem nieautoryzowanych działań.
Inne podatności w Connected IO
Zobacz wszystkie- CVE-2023-33378Krytyczne
Connected IO w wersji 2.1.0 i wcześniejszych ma podatność na wstrzykiwanie argumentów w wiadomości AT w swoim protokole komunikacyjnym, co umożliwia atakującym wykonywanie dowolnych poleceń systemowych na urządzeniach.
- CVE-2023-33376Krytyczne
Connected IO w wersji 2.1.0 i wcześniejszych ma podatność na wstrzykiwanie argumentów w komunikacie polecenia iptables w swoim protokole komunikacyjnym, co umożliwia atakującym wykonywanie dowolnych poleceń systemowych na urządzeniach.
- CVE-2023-33375Krytyczne
Connected IO w wersji 2.1.0 i wcześniejszych ma podatność na przepełnienie bufora na stosie w swoim protokole komunikacyjnym, co umożliwia atakującym przejęcie kontroli nad urządzeniami.
- CVE-2023-33374Krytyczne
Connected IO w wersji 2.1.0 i wcześniejszych posiada polecenie w swoim protokole komunikacyjnym, które pozwala platformie zarządzającej na określenie dowolnych poleceń systemowych do wykonania przez urządzenia. Atakujący mogą wykorzystać tę niebezpieczną funkcjonalność do wydawania poleceń systemowych, co prowadzi do zdalnego wykonania dowolnych poleceń.
- CVE-2023-33373Krytyczne
Connected IO w wersji 2.1.0 i wcześniejszych przechowuje hasła oraz dane uwierzytelniające w formacie tekstu jawnego, co umożliwia atakującym ich wykradzenie i wykorzystanie do podszywania się pod urządzenia.
Oryginalny opis (angielski, źródło NVD)
Connected IO v2.1.0 and prior has an OS command injection vulnerability in the set firewall command in part of its communication protocol, enabling attackers to execute arbitrary OS commands on devices.