CVE-2023-39809
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 66 - wyżej niż 66% wszystkich znanych CVE
Streszczenie
W oprogramowaniu iBSG v3.5 firmy N.V.K.INTER CO., LTD. (NVK) wykryto podatność na wstrzykiwanie poleceń systemu operacyjnego. Luka występuje w parametrze system_hostname w skrypcie /manage/network-basic.php, gdzie możliwe jest użycie znaków specjalnych powłoki.
Ocena ryzyka
Atakujący może zdalnie wykonać dowolne polecenia systemowe na serwerze, co prowadzi do pełnego przejęcia kontroli nad urządzeniem, kradzieży danych lub zakłócenia działania sieci.
Rekomendacja
Należy natychmiast zaktualizować oprogramowanie iBSG do najnowszej wersji oraz zastosować filtrowanie wejścia dla parametru system_hostname, uniemożliwiając przekazywanie znaków specjalnych powłoki.
Inne podatności w iBSG
Zobacz wszystkie- CVE-2023-39808Krytyczne
W oprogramowaniu iBSG v3.5 firmy N.V.K.INTER CO., LTD. (NVK) odkryto zakodowany na stałe hasło roota. Umożliwia ono atakującym zalogowanie się z uprawnieniami roota przez usługę SSH.
- CVE-2023-39807Krytyczne
W systemie iBSG w wersji 3.5 firmy N.V.K.INTER CO., LTD. (NVK) wykryto podatność na wstrzykiwanie SQL w parametrze a_passwd w skrypcie /portal/user-register.php. Luka ta może pozwolić atakującemu na manipulację zapytaniami do bazy danych.
Oryginalny opis (angielski, źródło NVD)
N.V.K.INTER CO., LTD. (NVK) iBSG v3.5 was discovered to contain an OS command injection vulnerability via shell metacharacters in the system_hostname parameter at /manage/network-basic.php.