CVE-2023-37857
NiskieCVSS 3.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 35 — wyżej niż 35% wszystkich znanych CVE
Streszczenie
W panelach internetowych serii WP 6xxx firmy PHOENIX CONTACT w wersjach przed 4.0.10, uwierzytelniony zdalny atakujący z uprawnieniami administratora może odczytać zakodowane klucze kryptograficzne, co pozwala mu na tworzenie ważnych ciasteczek sesyjnych.
Ocena ryzyka
Atakujący może wykorzystać te ciasteczka do prób uzyskania dostępu do urządzenia, chociaż same ciasteczka nie wystarczą do nawiązania ważnej sesji.
Rekomendacja
Zaleca się aktualizację paneli do wersji 4.0.10 lub nowszej, aby zniwelować tę podatność.
Oryginalny opis (angielski, źródło NVD)
In PHOENIX CONTACTs WP 6xxx series web panels in versions prior to 4.0.10 an authenticated, remote attacker with admin privileges is able to read hardcoded cryptographic keys allowing the attacker to create valid session cookies. These session-cookies created by the attacker are not sufficient to obtain a valid session on the device.