CVE-2023-35120
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 15 - wyżej niż 15% wszystkich znanych CVE
Streszczenie
PiiGAB M-Bus jest podatny na atak typu cross-site request forgery (CSRF). Atakujący może wysłać wiadomość phishingową do właściciela urządzenia, licząc na to, że kliknie on w link, co może skutkować wykonaniem nieautoryzowanego polecenia.
Ocena ryzyka
Ryzyko dla organizacji polega na możliwości nieautoryzowanego wykonania poleceń na urządzeniu, co może prowadzić do utraty kontroli nad systemem lub wycieku danych.
Rekomendacja
Zaleca się wdrożenie mechanizmów ochrony przed atakami CSRF, takich jak tokeny CSRF oraz edukację użytkowników na temat zagrożeń związanych z phishingiem.
Inne podatności w PiiGAB M-Bus
Zobacz wszystkie- CVE-2023-35987Krytyczne
PiiGAB M-Bus zawiera twardo zakodowane dane uwierzytelniające, które są używane do autoryzacji.
- CVE-2023-35765Średnie
PiiGAB M-Bus przechowuje dane uwierzytelniające w pliku tekstowym, co może umożliwić użytkownikowi o niskim poziomie uprawnień uzyskanie danych administratora.
- CVE-2023-34995Wysokie
Brak wymagań dotyczących ustawiania złożonych haseł w PiiGAB M-Bus może prowadzić do udanego ataku typu brute force, jeśli hasło jest zgodne z zalecanymi wytycznymi dotyczącymi haseł.
- CVE-2023-34433Wysokie
PiiGAB M-Bus przechowuje hasła przy użyciu słabego algorytmu haszującego, co może prowadzić do ich łatwego złamania.
Oryginalny opis (angielski, źródło NVD)
PiiGAB M-Bus is vulnerable to cross-site request forgery. An attacker who wants to execute a certain command could send a phishing mail to the owner of the device and hope that the owner clicks on the link. If the owner of the device has a cookie stored that allows the owner to be logged in, then the device could execute the GET or POST link request.