CVE-2023-33378
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 52 - wyżej niż 52% wszystkich znanych CVE
Streszczenie
Connected IO w wersji 2.1.0 i wcześniejszych ma podatność na wstrzykiwanie argumentów w wiadomości AT w swoim protokole komunikacyjnym, co umożliwia atakującym wykonywanie dowolnych poleceń systemowych na urządzeniach.
Ocena ryzyka
Podatność ta może prowadzić do przejęcia kontroli nad urządzeniami, co stwarza poważne zagrożenie dla bezpieczeństwa systemów i danych organizacji.
Rekomendacja
Zaleca się aktualizację do najnowszej wersji Connected IO, aby usunąć tę podatność oraz monitorowanie systemów pod kątem nieautoryzowanych działań.
Inne podatności w Connected IO
Zobacz wszystkie- CVE-2023-33377Krytyczne
Connected IO w wersji 2.1.0 i wcześniejszych ma podatność na wstrzyknięcie poleceń systemowych w komendzie ustawienia zapory, co umożliwia atakującym wykonywanie dowolnych poleceń systemowych na urządzeniach.
- CVE-2023-33376Krytyczne
Connected IO w wersji 2.1.0 i wcześniejszych ma podatność na wstrzykiwanie argumentów w komunikacie polecenia iptables w swoim protokole komunikacyjnym, co umożliwia atakującym wykonywanie dowolnych poleceń systemowych na urządzeniach.
- CVE-2023-33375Krytyczne
Connected IO w wersji 2.1.0 i wcześniejszych ma podatność na przepełnienie bufora na stosie w swoim protokole komunikacyjnym, co umożliwia atakującym przejęcie kontroli nad urządzeniami.
- CVE-2023-33374Krytyczne
Connected IO w wersji 2.1.0 i wcześniejszych posiada polecenie w swoim protokole komunikacyjnym, które pozwala platformie zarządzającej na określenie dowolnych poleceń systemowych do wykonania przez urządzenia. Atakujący mogą wykorzystać tę niebezpieczną funkcjonalność do wydawania poleceń systemowych, co prowadzi do zdalnego wykonania dowolnych poleceń.
- CVE-2023-33373Krytyczne
Connected IO w wersji 2.1.0 i wcześniejszych przechowuje hasła oraz dane uwierzytelniające w formacie tekstu jawnego, co umożliwia atakującym ich wykradzenie i wykorzystanie do podszywania się pod urządzenia.
Oryginalny opis (angielski, źródło NVD)
Connected IO v2.1.0 and prior has an argument injection vulnerability in its AT command message in its communication protocol, enabling attackers to execute arbitrary OS commands on devices.