CVE-2023-39001
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Wysokie ryzykoPercentyl 86 - wyżej niż 86% wszystkich znanych CVE
Streszczenie
W komponentach diag_backup.php OPNsense Community Edition przed wersją 23.7 oraz Business Edition przed wersją 23.4.2 występuje podatność na wstrzykiwanie poleceń, która pozwala atakującym na wykonanie dowolnych poleceń za pomocą spreparowanego pliku konfiguracyjnego kopii zapasowej.
Ocena ryzyka
Podatność ta może prowadzić do nieautoryzowanego dostępu do systemu oraz wykonania złośliwego kodu, co stanowi poważne zagrożenie dla bezpieczeństwa organizacji.
Rekomendacja
Zaleca się aktualizację OPNsense do najnowszej wersji, aby usunąć tę podatność oraz przeglądanie i weryfikowanie plików konfiguracyjnych kopii zapasowych.
Oryginalny opis (angielski, źródło NVD)
A command injection vulnerability in the component diag_backup.php of OPNsense Community Edition before 23.7 and Business Edition before 23.4.2 allows attackers to execute arbitrary commands via a crafted backup configuration file.