CVE-2023-39808
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 41 - wyżej niż 41% wszystkich znanych CVE
Streszczenie
W oprogramowaniu iBSG v3.5 firmy N.V.K.INTER CO., LTD. (NVK) odkryto zakodowany na stałe hasło roota. Umożliwia ono atakującym zalogowanie się z uprawnieniami roota przez usługę SSH.
Ocena ryzyka
Organizacja narażona jest na całkowite przejęcie kontroli nad systemem przez nieautoryzowanego użytkownika, co może prowadzić do kradzieży danych, instalacji złośliwego oprogramowania lub zakłócenia działania usług.
Rekomendacja
Należy natychmiast zmienić domyślne hasło roota na silne, unikalne hasło oraz zaktualizować oprogramowanie iBSG do najnowszej wersji po udostępnieniu łatki przez producenta.
Inne podatności w iBSG
Zobacz wszystkie- CVE-2023-39809Krytyczne
W oprogramowaniu iBSG v3.5 firmy N.V.K.INTER CO., LTD. (NVK) wykryto podatność na wstrzykiwanie poleceń systemu operacyjnego. Luka występuje w parametrze system_hostname w skrypcie /manage/network-basic.php, gdzie możliwe jest użycie znaków specjalnych powłoki.
- CVE-2023-39807Krytyczne
W systemie iBSG w wersji 3.5 firmy N.V.K.INTER CO., LTD. (NVK) wykryto podatność na wstrzykiwanie SQL w parametrze a_passwd w skrypcie /portal/user-register.php. Luka ta może pozwolić atakującemu na manipulację zapytaniami do bazy danych.
Oryginalny opis (angielski, źródło NVD)
N.V.K.INTER CO., LTD. (NVK) iBSG v3.5 was discovered to contain a hardcoded root password that allows attackers to login with root privileges via the SSH service. The cleartext password corresponding to the $1$4Tmm01jl$7HRvcW.bz7uGmX9hiQWvR hash was not determined by the vulnerability discoverer.