CVE-2024-14034
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 37 - wyżej niż 37% wszystkich znanych CVE
Streszczenie
Urządzenia Hirschmann HiEOS w wersjach przed 01.1.00 zawierają lukę w module zarządzania HTTP(S), która pozwala nieuwierzytelnionym zdalnym atakującym uzyskać dostęp administracyjny poprzez wysłanie specjalnie spreparowanych żądań HTTP(S). Atakujący mogą wykorzystać nieprawidłowe obsługiwanie uwierzytelniania, aby uzyskać podwyższone uprawnienia i wykonać nieautoryzowane działania, w tym pobieranie lub przesyłanie konfiguracji oraz modyfikację oprogramowania układowego.
Ocena ryzyka
Nieuwierzytelniony atakujący może przejąć pełną kontrolę nad urządzeniem, co może prowadzić do naruszenia bezpieczeństwa sieci i kradzieży danych.
Rekomendacja
Zaleca się natychmiastową aktualizację oprogramowania układowego urządzeń Hirschmann HiEOS do wersji 01.1.00 lub nowszej.
Oryginalny opis (angielski, źródło NVD)
Hirschmann HiEOS devices versions prior to 01.1.00 contain an authentication bypass vulnerability in the HTTP(S) management module that allows unauthenticated remote attackers to gain administrative access by sending specially crafted HTTP(S) requests. Attackers can exploit improper authentication handling to obtain elevated privileges and perform unauthorized actions including configuration download or upload and firmware modification.