CVE-2023-36669
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 47 - wyżej niż 47% wszystkich znanych CVE
Streszczenie
Brak uwierzytelnienia dla krytycznej funkcji w jednostce wewnętrznej Kratos NGC (IDU) przed wersją 11.4 umożliwia zdalnym atakującym uzyskanie dowolnej kontroli nad systemem IDU/ODU. Atakujący z dostępem do sieci warstwy 3 może podszyć się pod jednostkę panelu dotykowego (TPU) w IDU, wysyłając odpowiednio skonstruowane żądania TCP.
Ocena ryzyka
Podatność ta stwarza poważne ryzyko dla bezpieczeństwa systemu, umożliwiając atakującym przejęcie kontroli nad krytycznymi funkcjami jednostki. Może to prowadzić do nieautoryzowanego dostępu i potencjalnych zakłóceń w działaniu systemu.
Rekomendacja
Zaleca się aktualizację jednostki wewnętrznej Kratos NGC do wersji 11.4 lub nowszej, aby usunąć tę podatność. Dodatkowo, warto wdrożyć dodatkowe mechanizmy uwierzytelniania dla krytycznych funkcji systemu.
Oryginalny opis (angielski, źródło NVD)
Missing Authentication for a Critical Function within the Kratos NGC Indoor Unit (IDU) before 11.4 allows remote attackers to obtain arbitrary control of the IDU/ODU system. Any attacker with layer-3 network access to the IDU can impersonate the Touch Panel Unit (TPU) within the IDU by sending crafted TCP requests to the IDU.