CVE-2023-38955
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 39 - wyżej niż 39% wszystkich znanych CVE
Streszczenie
Podatność w ZKTeco BioAccess IVS v3.3.1 umożliwia nieuwierzytelnionym atakującym uzyskanie wrażliwych informacji o wszystkich zarządzanych urządzeniach, w tym ich adresów IP i nazw.
Ocena ryzyka
Organizacja narażona jest na wyciek danych o infrastrukturze, co może ułatwić atakującym dalsze ataki, takie jak skanowanie sieci czy próby włamań na urządzenia.
Rekomendacja
Należy niezwłocznie zaktualizować oprogramowanie ZKTeco BioAccess IVS do najnowszej wersji oraz ograniczyć dostęp do interfejsu zarządzania tylko dla zaufanych sieci.
Inne podatności w ZKTeco BioAccess IVS
Zobacz wszystkie- CVE-2023-38954Krytyczne
W systemie ZKTeco BioAccess IVS w wersji 3.3.1 wykryto podatność na wstrzykiwanie SQL. Umożliwia ona atakującemu manipulację zapytaniami do bazy danych.
- CVE-2023-38958Średnie
W systemie ZKTeco BioAccess IVS w wersji 3.3.1 wykryto problem z kontrolą dostępu, który umożliwia nieuwierzytelnionym atakującym zdalne otwieranie i zamykanie drzwi zarządzanych przez platformę poprzez wysłanie spreparowanego żądania HTTP.
- CVE-2023-38956Wysokie
Podatność typu path traversal w ZKTeco BioAccess IVS v3.3.1 umożliwia nieuwierzytelnionym atakującym odczyt dowolnych plików poprzez dostarczenie spreparowanego ładunku.
Oryginalny opis (angielski, źródło NVD)
ZKTeco BioAccess IVS v3.3.1 allows unauthenticated attackers to obtain sensitive information about all managed devices, including their IP addresses and device names.