CVE-2023-36622
WysokieCVSS 7.2Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 59 - wyżej niż 59% wszystkich znanych CVE
Streszczenie
Endpoint konfiguracji websocket w Loxone Miniserver Go Gen.2 przed wersją 14.1.5.9 pozwala zdalnie uwierzytelnionym administratorom na wstrzykiwanie dowolnych poleceń systemowych za pomocą parametru strefy czasowej.
Ocena ryzyka
Atakujący mogą wykorzystać tę podatność do wykonania nieautoryzowanych poleceń na serwerze, co może prowadzić do poważnych naruszeń bezpieczeństwa.
Rekomendacja
Zaleca się aktualizację Loxone Miniserver Go do wersji 14.1.5.9 lub nowszej, aby zlikwidować tę podatność.
Inne podatności w Loxone Miniserver Go Gen.2
Zobacz wszystkie- CVE-2023-36624Wysokie
Loxone Miniserver Go Gen.2 w wersji do 14.0.3.28 pozwala uwierzytelnionemu użytkownikowi systemu operacyjnego na eskalację uprawnień poprzez konfigurację Sudo. Umożliwia to podwyższone wykonywanie binariów bez wymogu podawania hasła.
- CVE-2023-36623Wysokie
Hasło roota w Loxone Miniserver Go Gen.2 przed wersją 14.2 jest obliczane przy użyciu zakodowanych sekretów oraz adresu MAC. Umożliwia to lokalnemu użytkownikowi obliczenie hasła roota i eskalację uprawnień.
Oryginalny opis (angielski, źródło NVD)
The websocket configuration endpoint of the Loxone Miniserver Go Gen.2 before 14.1.5.9 allows remote authenticated administrators to inject arbitrary OS commands via the timezone parameter.