CVE-2023-35086
WysokieCVSS 7.2Prawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 98 - wyżej niż 98% wszystkich znanych CVE
Streszczenie
Zidentyfikowano podatność typu format string w urządzeniach ASUS RT-AX56U V2 oraz RT-AC86U. Problem ten wynika z bezpośredniego użycia danych wejściowych jako ciągu formatu podczas wywoływania syslog w funkcji logmessage_normal w module do_detwan_cgi.
Ocena ryzyka
Zdalny atakujący z uprawnieniami administratora może wykorzystać tę podatność do zdalnego wykonania dowolnego kodu, przeprowadzenia dowolnej operacji systemowej lub zakłócenia działania usługi.
Rekomendacja
Zaleca się aktualizację oprogramowania układowego do najnowszej wersji, aby usunąć tę podatność oraz ograniczenie dostępu do interfejsu administracyjnego urządzenia.
Oryginalny opis (angielski, źródło NVD)
It is identified a format string vulnerability in ASUS RT-AX56U V2 & RT-AC86U. This vulnerability is caused by directly using input as a format string when calling syslog in logmessage_normal function, in the do_detwan_cgi module of httpd. A remote attacker with administrator privilege can exploit this vulnerability to perform remote arbitrary code execution, arbitrary system operation or disrupt service. This issue affects RT-AX56U V2: 3.0.0.4.386_50460; RT-AC86U: 3.0.0.4_386_51529.