CVE-2023-37469
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 66 - wyżej niż 66% wszystkich znanych CVE
Streszczenie
CasaOS to system osobistej chmury typu open-source. Przed wersją 0.4.4, uwierzytelniony użytkownik, który pomyślnie połączy się z kontrolowanym serwerem SMB, może wykonać dowolne polecenia.
Ocena ryzyka
Ryzyko polega na tym, że złośliwy użytkownik może wykorzystać tę podatność do wykonania nieautoryzowanych działań na systemie, co może prowadzić do utraty danych lub przejęcia kontroli nad systemem.
Rekomendacja
Zaleca się aktualizację do wersji 0.4.4 lub nowszej, aby załatać tę podatność i zabezpieczyć system przed potencjalnymi atakami.
Inne podatności w CasaOS
Zobacz wszystkie- CVE-2023-37266Krytyczne
CasaOS to system osobistej chmury typu open-source. Atakujący bez uwierzytelnienia mogą tworzyć dowolne JWT i uzyskiwać dostęp do funkcji wymagających uwierzytelnienia oraz wykonywać dowolne polecenia jako `root` na instancjach CasaOS.
- CVE-2023-37265Krytyczne
CasaOS to system osobistej chmury typu open-source. Z powodu braku weryfikacji adresów IP, nieautoryzowani atakujący mogą wykonywać dowolne polecenia jako `root` na instancjach CasaOS.
- CVE-2025-34171Średnie
CasaOS w wersjach do 0.4.15 udostępnia nieuwierzytelnione punkty końcowe, które pozwalają zdalnym atakującym na odczyt wrażliwych plików konfiguracyjnych i informacji debugowania systemu. Punkty /v1/users/image i /v1/sys/debug umożliwiają dostęp do plików oraz ujawniają dane o systemie operacyjnym, jądrze, sprzęcie i magazynie.
Oryginalny opis (angielski, źródło NVD)
CasaOS is an open-source personal cloud system. Prior to version 0.4.4, if an authenticated user using CasaOS is able to successfully connect to a controlled SMB server, they are able to execute arbitrary commands. Version 0.4.4 contains a patch for the issue.