CVE-2023-36624
WysokieCVSS 7.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 24 - wyżej niż 24% wszystkich znanych CVE
Streszczenie
Loxone Miniserver Go Gen.2 w wersji do 14.0.3.28 pozwala uwierzytelnionemu użytkownikowi systemu operacyjnego na eskalację uprawnień poprzez konfigurację Sudo. Umożliwia to podwyższone wykonywanie binariów bez wymogu podawania hasła.
Ocena ryzyka
Eskalacja uprawnień może prowadzić do nieautoryzowanego dostępu do krytycznych zasobów systemowych, co stwarza poważne zagrożenie dla bezpieczeństwa organizacji.
Rekomendacja
Zaleca się aktualizację Loxone Miniserver Go Gen.2 do najnowszej wersji, aby usunąć tę podatność oraz przegląd konfiguracji Sudo w celu ograniczenia możliwości eskalacji uprawnień.
Inne podatności w Loxone Miniserver Go Gen.2
Zobacz wszystkie- CVE-2023-36623Wysokie
Hasło roota w Loxone Miniserver Go Gen.2 przed wersją 14.2 jest obliczane przy użyciu zakodowanych sekretów oraz adresu MAC. Umożliwia to lokalnemu użytkownikowi obliczenie hasła roota i eskalację uprawnień.
- CVE-2023-36622Wysokie
Endpoint konfiguracji websocket w Loxone Miniserver Go Gen.2 przed wersją 14.1.5.9 pozwala zdalnie uwierzytelnionym administratorom na wstrzykiwanie dowolnych poleceń systemowych za pomocą parametru strefy czasowej.
Oryginalny opis (angielski, źródło NVD)
Loxone Miniserver Go Gen.2 through 14.0.3.28 allows an authenticated operating system user to escalate privileges via the Sudo configuration. This allows the elevated execution of binaries without a password requirement.